Web 應用程序的基本安全做法 (Visual Studio)

07-14

Visual Web DeveloperWeb 應用程序的基本安全做法 (Visual Studio)

即使您對應用程序安全性的體驗和了解非常有限，也應採取一些基本措施來保護您的 Web 應用程序。本主題的以下各部分提供了適用於所有 Web 應用程序的最低安全性準則。有關編寫安全代碼和確保應用程序安全的最佳做法的更多詳細信息，請參見由 Michael Howard 和 David LeBlanc 編寫的書籍《編寫安全代碼》以及由「Microsoft Patterns and Practices」（Microsoft 模式和實踐）提供的指導。

常規 Web 應用程序安全性建議

使用最少特權運行應用程序

了解您的用戶

防止惡意用戶的輸入

安全地訪問資料庫

創建安全的錯誤消息

保證敏感信息的安全

安全地使用 Cookie

防止拒絕服務威脅

常規 Web 應用程序安全性建議

如果惡意用戶可以使用簡單方法進入您的計算機，即使是最精心設計的應用程序安全性也會失敗。常規 Web 應用程序安全性建議包括以下內容：

經常備份數據，並將備份存放在安全的場所。

將您的 Web 伺服器放置在安全的場所，使未經授權的用戶無法訪問它、關閉它、帶走它，等等。

使用 Windows NTFS 文件系統，不使用 FAT32。NTFS 的安全性比 FAT32 高得多。有關詳細信息，請參見 Windows 幫助文檔。

使用不易破解的密碼，保護 Web 伺服器和同一網路上的所有計算機的安全。

遵循用於確保 Internet 信息服務 (IIS) 安全的最佳做法。有關詳細信息，請參見「Windows Server TechCenter for IIS」（用於 IIS 的 Windows Server TechCenter）。

關閉任何不使用的埠並關閉不使用的服務。

運行監視網站通信量的病毒檢查程序。

使用防火牆。有關建議，請參見 Microsoft 安全網站上的「Microsoft Firewall Guidelines」（Microsoft 防火牆準則）。

了解和安裝來自 Microsoft 和其他供應商的最新安全更新。

使用 Windows 事件日誌記錄，並且經常檢查這些日誌，以查找可疑活動。這樣的活動包括：反覆嘗試登錄您的系統，以及向您的 Web 伺服器發出數量巨大的請求。

使用最少特權運行應用程序

當您的應用程序運行時，它運行在一個具有本地計算機（還可能是遠程計算機）的特定特權的上下文中。有關配置應用程序標識的信息，請參見配置 ASP.NET 進程標識。

若要以最少特權運行，請遵循以下準則：

不要以系統用戶（管理員）身份運行應用程序。

在具有最少實用特權的用戶上下文中運行應用程序。

設置應用程序所需的所有資源上的許可權（ACL 或訪問控制列表）。使用最嚴格的設置。例如，如果在您的應用程序中是可行的，則將文件設置為只讀。有關 ASP.NET 應用程序標識所需的最少 ACL 許可權的列表，請參見 ASP.NET 必需的訪問控制列表 (ACL)。

將您的 Web 應用程序的文件保存在應用程序根目錄下的一個文件夾中。不要讓用戶指定在應用程序中進行文件訪問的路徑。這樣有助於防止用戶訪問伺服器的根目錄。

了解您的用戶

在許多應用程序中，用戶有可能不必提供憑據即可訪問網站。如果是這樣，則您的應用程序通過在預定義用戶的上下文中運行即可訪問資源。默認情況下，此上下文是 Web 伺服器上的本地 ASPNET 用戶（Windows 2000 或 Windows XP）或 NETWORK SERVICE 用戶 (Windows Server 2003)。

若要僅允許已授權用戶進行訪問，請遵循以下準則：

如果您的應用程序是 Intranet 應用程序，則將其配置為使用 Windows 集成安全性。這樣，用戶的登錄憑據就可以用於訪問資源。

如果您需要從用戶收集憑據，則使用其中一種 ASP.NET 身份驗證策略。有關示例，請參見 ASP.NET Forms 身份驗證概述。

防止惡意用戶的輸入

通常，決不假定從用戶獲得的輸入是安全的。對惡意用戶來說，從客戶端向您的應用程序發送潛在危險的信息是很容易的。若要幫助防止惡意輸入，請遵循以下準則：

在窗體中，篩選用戶輸入以查找 HTML 標記，其中可能包含腳本。有關詳細信息，請參見如何：通過對字元串應用 HTML 編碼在 Web 應用程序中防止腳本侵入。

決不回顯（顯示）未經篩選的用戶輸入。在顯示不受信任的信息之前，對 HTML 進行編碼以將潛在有害的腳本轉換為顯示字元串。

類似地，決不將未經篩選的用戶輸入存儲在資料庫中。

如果要接受來自用戶的一些 HTML，則手動篩選它。在您的篩選器中，顯式定義將要接受的內容。不要創建一個試圖篩選出惡意輸入的篩選器；因為預料到所有可能的惡意輸入是非常困難的。

不要假定您從標頭（通常通過 Request 對象）獲得的信息是安全的。對查詢字元串、Cookie 等採取安全措施。注意，瀏覽器向伺服器報告的信息（用戶代理信息）可以被假冒（如果此信息在您的應用程序中相當重要）。

如有可能，不要將敏感信息（如隱藏欄位或 Cookie）存儲在可從瀏覽器訪問的位置。例如，不要將密碼存儲在 Cookie 中。

注意
視圖狀態是以編碼格式存儲在隱藏欄位中的。默認情況下，它包含消息身份驗證代碼 (MAC)，這樣頁可以確定視圖狀態是否已被篡改。

安全地訪問資料庫

資料庫通常具有它們自己的安全性。Web 應用程序安全性的一個重要方面是設計一種應用程序安全地訪問資料庫的方式。請遵循這些指導：

使用資料庫的內在安全性來限制可以訪問資料庫資源的人員。確切的策略取決於您的資料庫和應用程序：

如果在您的應用程序中切實可行，請使用 Windows 集成安全性以便只有 Windows 授權的用戶才能訪問資料庫。集成安全性比使用 SQL Server 標準安全性更安全。

如果您的應用程序使用匿名訪問，請創建具有非常有限的許可權的單個用戶，並以此用戶身份連接來執行查詢。

不要通過串聯涉及用戶輸入的字元串創建 SQL 語句。相反，創建參數化查詢並使用用戶輸入設置參數值。

如果您必須將用戶名和密碼存儲在某個位置以用作資料庫登錄憑據，請安全地存儲它們。如果可行，請對它們進行加密或計算哈希值。有關詳細信息，請參見加密和解密數據。

有關安全地訪問數據的更多信息，請參見保證 ADO.NET 應用程序的安全。

創建安全的錯誤消息

如果您不小心，惡意用戶就可以從應用程序顯示的錯誤消息推斷出有關您的應用程序的重要信息。請遵循這些指導：

不要編寫會回顯可能對惡意用戶有用的信息（例如用戶名）的錯誤消息。

將應用程序配置為不向用戶顯示詳細錯誤。如果為進行調試而要顯示詳細錯誤消息，請先檢查該用戶是否為 Web 伺服器的本地用戶。有關詳細信息，請參見如何：顯示安全錯誤信息。

使用 customErrors 配置元素控制誰可以查看伺服器發出的異常。

對於容易發生錯誤的情況（如資料庫訪問）創建自定義錯誤處理方式。

保證敏感信息的安全

「敏感信息」是需要保密的任意信息。密碼或加密密鑰即是典型的敏感信息。如果惡意用戶可以獲得敏感信息，則該信息保護的數據將受到威脅。請遵循這些指導：

如果您的應用程序在瀏覽器和伺服器之間傳輸敏感信息，請考慮使用安全套接字層 (SSL)。有關如何使用 SSL 加密網站的詳細信息，請參見 Microsoft 知識庫中的文章 Q307267，「How to: Secure XML Web Services with Secure Sockets Layer in Windows 2000」（如何：在 Windows 2000 中使用安全套接字層確保 XML Web 服務的安全）。

使用受保護的配置來確保配置文件（如 Web.config 或 Machine.config 文件）中敏感信息的安全。有關更多信息，請參見使用受保護的配置加密配置信息。

如果您必須存儲敏感信息，即使是以您認為人們將無法看到它的形式（如在伺服器代碼中）進行保存，也不要將它保存在網頁中。

使用 System.Security.Cryptography 命名空間中提供的強加密演算法。

安全地使用 Cookie

為了讓用戶特定的信息保持可用，Cookie 是一種容易而有用的方法。但是，由於 Cookie 會被發送到瀏覽器所在的計算機，因此它們容易被假冒或用於其他惡意用途。請遵循這些指導：

不要將任何關鍵信息存儲在 Cookie 中。例如，不要將用戶的密碼存儲在 Cookie 中，即使是暫時存儲也不要這樣做。作為一項原則，不要在 Cookie 中存儲任何敏感信息。而是在 Cookie 中保存對信息在伺服器上的位置的引用。

將 Cookie 的過期日期設置為可以設置的最短時間。儘可能避免使用永久的 Cookie。

考慮對 Cookie 中的信息加密。

考慮將 Cookie 的 Secure 和 HttpOnly 屬性設置為 true。

防止拒絕服務威脅

惡意用戶危害您的應用程序的一種間接方式是使其不可用。惡意用戶可以使應用程序太忙而無法為其他用戶提供服務，或者僅僅使應用程序出現故障。請遵循這些指導：

關閉或釋放您使用的任何資源。例如，在使用完畢後，始終關閉數據連接和數據讀取器，而且始終關閉文件。

使用錯誤處理機制（例如，try/catch 塊）。包含 finally 塊，以便萬一失敗就可以在其中釋放資源。

將 IIS 配置為使用調節，這樣可以防止應用程序消耗過多的 CPU。

在使用或存儲用戶輸入之前，測試它的大小限制。

對資料庫查詢設置大小保護措施，以防止大型查詢耗盡系統資源。

如果文件上載是您的應用程序的一部分，則對它們的大小加以限制。您可以使用類似下面代碼示例的語法在 Web.config 文件中設置限制（其中 maxRequestLength 值以千位元組為單位）：

複製代碼