ASP.NET登录安全性问题
使用存储过程 DL_CheckUser
当页面用户名和密码全部输入后
login.aspx页面部分代码
if(txtusname.text!=string.empty&&txtpwd!=string.empty)
{
session["userName"]=username;
response.write("default.aspx");
}
今天使用了IBM的appscan扫描工具进行扫描,发现如下错误
以前一般都是这么写,现在问题来了
1. 使用 SQL 注入的认证旁路
(txtPassword) http://xxx.vicp.net/login.aspx
(txtUserName) http://xxx.vicp.net/login.aspx
针对这个问题的解决方案
若干问题的补救方法在于对用户输入进行清理。
通过验证用户输入未包含危险字符，便可能防止恶意的用户导致应用程序执行计划外的任务，例如：启动任意 SQL 查询、嵌入将在客户端执行的 Javascript 代码、运行各种操作系统命令，等等。
2.会话标识未更新
针对这个问题的解决方案
始终生成新的会话，供用户成功认证时登录。
防止用户操纵会话标识。
请勿接受用户浏览器登录时所提供的会话标识
第一个，我已经使用存储过程，出于客户端攻击，网上查了下资料，列如:
HashMethod hm = new HashMethod();
string userPassword=Server.HtmlDecode(hm.Encrypto(txtPassword.Text.Trim()));
密码经过加密，而且使用Server.HtmlDecode()方法获取客户端的值，这样还是没有通过他的安全检验。。。
第二个，每次生成新的会话，不是很了解这句话的意思。请安全方面的高手指点~大家也可以讨论下 一般登录要多安全才能通过这些安全软件的扫描。。。
ht
相关问答：
小弟是今年刚毕业学生找了很长时间工作了,总是失败，一些公司都要有工作经验的，都崩溃了，所以想请各位大哥帮个忙
今天我去面试了一家公司，他是想做一个“医疗的网站”相当于是推广自己的医疗方法吧，他叫� ......
本人目前遇到一个难题，请各位高手、大侠帮帮忙。
我单击一个按钮时要把gridview中的数据一个一个的取出并把对应参数传递给前台的js。
我试了几种后台调前台的方式都没有成功，所以请大侠们帮帮小弟。
谢谢。
不 ......
类似于csdn 右边用什么控件显示贴子标题 以及怎样分页？跪求高手答复
续：就像点到asp版 然后显示贴子
随便你！！
分页控件这个就多了！
aspnetpager
http://www.webdiyer.com/AspNetPager
这里显示贴子的 ......
我用asp.net开发wap站点，完成后去http://validator.w3.org/这里验证我的Wap页面是否标准，其它问题都改好了，
就剩这一个错误了，按字面意思理解是说name属性已存在，类似这样的错误还有不能用border ,align,size� ......
