是否有任何 Asp.net 安全工具和/或框架？

Question

随着安全威胁的增加，我的网站在各个方面都需要格外小心。我知道 asp.net 已经内置了一些安全措施（防伪令牌、跨站点脚本、身份验证、角色），但这还不够。

我需要一个工具来测试所有可能的安全威胁（暴力攻击、....IP 位置、浏览器信息...） 以及一个框架（开源更好），可以处理所有这些问题并让您在此基础上进行构建。

编辑 所以缩小一点，我主要关心的是保护“登录”页面免受所有可能的威胁。

非常感谢您的帮助！

附：如果有人不能回答，请跳过问题并保留 cmets 和反对票。谢谢。

Answer 1

就安全性而言，这听起来像是您构建了一个非常严肃的系统。

当我构建应用程序时，我首先会分析使用情况，如果我知道最终客户端并且它们在防火墙后面运行，我首先会限制通过 IP 地址访问该站点。

始终对您网站的敏感部分使用 SSL 证书。

如果网站是面向公众的，请使用 microsoft forms 身份验证，但将安全元素拆分到单独的数据库中，这样就不会对可能影响安全性的架构进行意外修改。

确保在服务器端也重复任何客户端验证，客户端验证是为了节省往返行程，但有人可能会欺骗您的网站。

确保设置密码在锁定前的尝试次数限制。

通过 .net 会员提供商执行强密码策略。

确保对传递给 javascript 的所有重要变量进行加密。

不要做这些事情：-

//sql注入 string sql = "select * from Test where userid = '" + textbox1.text "'"

测试整个服务器是否存在安全漏洞的最佳起点如下：-

http://www.microsoft.com/en-us/download/confirmation.aspx?id=573

问候

史蒂夫

Answer 2

我认为一般防御方法是您必须考虑的。我的意思是你必须“密封你的服务器”，而不仅仅是网页。在服务器端，您首先需要更改默认端口，使用防火墙阻止端口扫描并监控关键端口以防进出。

现在，从网页/页面方面，我知道至少有一种来自 google 的工具可以帮助您解决一些问题。

http://google-gruyere.appspot.com/

关于sql注入的第二篇文章

http://www.symantec.com/connect/articles/detection-sql-injection-and-cross-site-scripting-attacks

从程序中我知道 iMperva 更接近您搜索的内容

http://www.imperva.com/products/wsc_threatradar.html

我相信还有更多...

也花点时间阅读

Can some hacker steal the cookie from a user and login with that name on a web site?

How serious is this new ASP.NET security vulnerability and how can I workaround it?

Answer 3

使用内置的 ASP.net 会员系统。它由安全专业人员设计，经过全面测试且功能强大。如果你使用得当，你几乎不用担心。它具有许多内置功能，例如记录失败的登录尝试，这可能会使您受益。