Ranjivost u ASP.NET-u

Kao da nam nije bilo dovoljno zanimljivo uz probleme sa OpenX-om , pojavio se dodatni problem koji ovaj put samo affecta Windows strojeve i .NET aplikacije.

Što je u biti ta “ranjivost”?

Potencijalni napadač ima mogucnost da requesta  i downloada fileove unutar asp.net aplikacije kao što je naprimjer web.config file u kojem se skoro uvijek nalazi connection string za spajanje na bazu, neki passwordi, itd.

Uz gore navedeno, napadač također ima mogucnost da decrypta podatke koji se inače kriptirani šalju klijentu ( npr. ViewState data unutar neke stranice ).

Da li će Microsoft izdati neku zakrpu za ovaj problem???

Da, Microsoft već radi na update-u za ASP.NET, te čim završe temeljito testiranje će ponuditi update za download koristeći Windows Update servis.

Dok službeni update ne bude izdan, postoji par workarounda koji će zaštiti Vašu web aplikaciju. Ovi workaroundi su privremeno rješenje dok ne izađe update, te neće biti potrebno ih applyati nakon što serveri budu updateani.

Najjednostavniji workaround za verzije .Net-a V1.0 do V3.5:

1) Otvorite Web.Config file Vaše aplikacije u Vašem omiljenom text editoru. Ukoliko taj file ne postoji, kreirajte ga i spremite u root folder Vaše aplikacije.

2) Kreirajte ili modificirajte <customErrors> dio web.config filea tako da izgleda ovako:

<configuration>
<system.web>
<customErrors mode="On" defaultRedirect="~/error.html" />
</system.web>
</configuration> 

3) Sljedeći korak je da kreirate error.html file u koji ćete ubaciti sadržaj koji želite da se prikazuje kao error page. Ova error stranica će se prikazati kada dodje do bilo koje “greške” na Vašoj stranici.

BITNO: Ukoliko koristite custom , per status error code stranice, bilo bi dobro ih privremeno isključiti i sve errore preusmjeriti na error.html file.

Workaround za verzije .Neta V4.0 i V3.5 SP1

 

1) Otvorite Web.Config file Vaše aplikacije u Vašem omiljenom text editoru. Ukoliko taj file ne postoji, kreirajte ga i spremite u root folder Vaše aplikacije.

2) Kreirajte ili modificirajte <customErrors> dio web.config filea tako da izgleda ovako:

 <configuration>
 <system.web>
 <customErrors mode="On" redirectMode="ResponseRewrite" defaultRedirect="~/error.aspx" />
 </system.web>
 </configuration> 

3) Sljedeći korak je da kreirate error.aspx file u koji ćete ubaciti sadržaj koji želite da se prikazuje kao error page. Ova error stranica će se prikazati kada dodje do bilo koje “greške” na Vašoj stranici.

4) Također preporučamo da u code error.aspx stranice dodate i  Page_Load() server event handler koji će dodati random sleep delay. Ovo će omogućiti dodatni layer sigurnosti.

VB Verzija workarounda

Ovdje se nalazi Error.aspx file koji možete koristiti, a već ima implementirani random sleep delay.  Sve što trebate napraviti je spremiti code u error.aspx file i smjestiti ga u root folder Vaše aplikacije.

<%@ Page Language="VB" AutoEventWireup="true" %>
 <%@ Import Namespace="System.Security.Cryptography" %>
 <%@ Import Namespace="System.Threading" %>

<script runat="server">
 Sub Page_Load()
 Dim delay As Byte() = New Byte(0) {}
 Dim prng As RandomNumberGenerator = New RNGCryptoServiceProvider()

prng.GetBytes(delay)
 Thread.Sleep(CType(delay(0), Integer))

Dim disposable As IDisposable = TryCast(prng, IDisposable)
 If Not disposable Is Nothing Then
 disposable.Dispose()
 End If
 End Sub
 </script>

<html>
 <head runat="server">
 <title>GREŠKA</title>
 </head>
 <body>
 <div>

Došlo je do pogreške u procesiranju Vašeg upita.

</div>
 </body>
 </html>

C# Verzija workarounda

Ovdje se nalazi Error.aspx file koji možete koristiti, a već ima implementirani random sleep delay.  Sve što trebate napraviti je spremiti code u error.aspx file i smjestiti ga u root folder Vaše aplikacije.

<%@ Page Language="C#" AutoEventWireup="true" %>
 <%@ Import Namespace="System.Security.Cryptography" %>
 <%@ Import Namespace="System.Threading" %>

<script runat="server">
 void Page_Load() {
 byte[] delay = new byte[1];
 RandomNumberGenerator prng = new RNGCryptoServiceProvider();

prng.GetBytes(delay);
 Thread.Sleep((int)delay[0]);

IDisposable disposable = prng as IDisposable;
 if (disposable != null) { disposable.Dispose(); }
 }
 </script>

<html>
 <head runat="server">
 <title>GREŠKA</title>
 </head>
 <body>
 <div>
 Došlo je do pogreške u procesiranju Vašeg upita.
 </div>
 </body>
 </html>

Kako provjeriti da li workaround radi kako treba?

Nakon što ste primjenili neki od gore navedenih workarounda, tj, napravili izmjene u   <customErrors> dijelu Web.Config filea, napravite sljedeće: zatražite neki link koji ne postoji u Vašoj aplikaciji : http://wwww.mojastranica.com/nekastranicakojenepostoji.aspx
Ukoliko Vam se otvori Vaš custom error page koji ste kreirali, onda je sve u redu. Ukoliko Vam se otvori standardni ASP.NET error page, znači da niste neki dio dobro odradili.

U slučaju bilo kakvih dodatnih pitanja, slobodno ostavite komentar, a ako ste naš korisnik, kontaktirajte nas koristeći naš support sustav ili preko kontakt obrasca.

Za one koji žele znati više :


Povezani članci

Odgovori