0

所以我在谷歌上搜索这个问题并找不到任何明确的例子，因为几乎所有相关的故事都是关于用户登录的网站等。

所以我的场景如下，asp.net MVC3网站，没有用户登录，什么都没有。不过，我确实有一些表格，联系方式和一些计算功能。

我使用 Nhibernate，并将我的 Smtp 服务器凭据放在代码本身中，而不是在 web.config 中。我还有一个自定义错误页面，并且发布方法具有 [HttpPost] 属性。

作为最后一个功能，我有一个 AJAX/json get 方法，它可以获取标题列表。（此控制器方法具有 [AcceptVerbs(HttpVerbs.Get)] 属性）。

我是否在这里遗漏了一些大的安全漏洞（sql 注入、跨站点脚本）？

多谢你们

4

3 回答 3

2

从这里开始：https ://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

于 2012-05-18T14:58:12.127 回答
0

您仍然容易受到 DDoS 和 DoS 攻击，如果您不使用 https，那么您将容易受到 MiM 攻击。

虽然 NHibernate 和 ASP.NET MVC3 应该为您覆盖大部分曲目。如果他们没有适当的表单验证客户端和服务器端并且没有对数据库输入进行清理，我会感到非常惊讶。

你如何管理你的数据？- 你有只为管理员登录吗？

如果是这样，让你保护它，并且为了额外的措施，不要把它放在/login/或/admin/！

于 2012-05-18T14:58:09.360 回答
0

The only types of attacks you would not be vulnerable to would be any type of Authentication Bypass or Privilege Escalation. The rest of the OWASP Top 10 (and SANS top 25 for that matter http://www.sans.org/top25-software-errors/) would still be applicable.

Despite the typical SQL Injection and XSS vulnerabilities, there are a number of other "injection" type vulnerabilites, such as OS Command Injection and Path Traversals that you should be aware of. Don't forget you should also be aware of securing your hosting environment (hardening the web server, applicaiton server, and the server itself).

于 2013-02-28T03:42:14.337 回答