ASP.NET常见安全问题
ASP.NET常见安全问题
一、SQL语句漏洞
许多程序员在用sql语句进行用户密码验证时是通过一个类似这样的语句来实现的：
Sql="Select * from 用户表 where 姓名 = '" + name + "' and 密码 = '" + password + "'"
通过分析可以发现，上述语句存在着致命的漏洞。当我们在用户名称中输入下面的字符串时：test' or '1' = '1，然后口令随便输入，我们设为aaa。变量代换后，sql语句就变成了下面的字符串：
Sql="Select * from 用户表 where 姓名='test' or '1' = '1' and 密码 = 'aaa'
我们都知道select语句在判断查询条件时，遇到或（or）操作就会忽略下面的与（and）操作，而在上面的语句中1=1的值永远为true，这意味着无论在密码中输入什么值，均能通过上述的密码验证！
Select * from 用户表 where 姓名 = '合法的姓名' or '1' = '1' and 密码 = '' //无需密码
Select * from 用户表 where 姓名 = '' or '1'='1' and 密码 = '' or '1'='1' //无需用户名和密码
Select * from 用户表 where 姓名 = '合法的姓名' --' and 密码 = '' //无需密码
解决方法：
防止ASP.NET应用被SQL注入式攻击闯入并不是一件特别困难的事情，只要在利用表单输入的内容构造SQL命令之前，把所有输入内容过滤一番就可以了。过滤输入内容可以按多种方式进行：
1、检查用户输入的合法性，确信输入的内容只包含合法的数据。数据检查应当在客户端和服务器端都执行——之所以要执行服务器端验证，是为了弥补客户端验证机制脆弱的安全性。在客户端，攻击者完全有可能获得网页的源代码，修改验证合法性的脚本（或者直接删除脚本），然后将非法内容通过修改后的表单提交给服务器。
2、对于动态构造SQL查询的场合，可以使用下面的技术：
第一：替换单引号，即把所有单独出现的单引号改成两个单引号。
第二：删除用户输入内容中的所有连字符。
第三：对于用来执行查询的数据库帐户，限制其权限。用不同的用户帐户执行查询、插入、更新、删除操作。由于隔离了不同帐户可执行的操作，因而也就防止了原本用于执行SELECT命令的地方却被用于执行INSERT、UPDATE或DELETE命令。
3、用存储过程来执行所有的查询。SQL参数的传递方式将防止攻击者利用单引号和连字符实施攻击。此外，它还使得数据库权限可以限制到只允许特定的存储过程执行，所有的用户输入必须遵从被调用的存储过程的安全上下文，这�
相关文档：
关于控件图标的事，可没少瞎折腾，从前年想入手这方面开始，就没搞定过。N多大虾的贴子都翻烂了，也没找出个头绪来。其实最开始有次真给蒙出来了！不过后来改控件，也不知道改哪了。没了！于是满世界的CSDN、MSDN。。。。NB的人，NB的文章看了眼晕，打死也没有弄出来。昨天项目中遇到问题，看了一哥们的控件（WEBABCD：至今 ......
http://www.cnblogs.com/TerryFeng/archive/2009/02/01/1382123.html
这很常用，搜索了一下博客园的“找找看”和谷歌，看到大部分都是转载于一两篇文章（而且来源还不是博客园），有的是简单的说一点无法运行，给初学者的调试和学习带来不方便，我在这里将jQuery Ajax 调用Aspx.Net WebService 的几个常用的方法 ......
DateTime dt = DateTime.Now;
// Label1.Text = dt.ToString();//2005-11-5 13:21:25
// Label2.Text = dt.ToFileTime().ToString();//127756416859912816
// Label3.Text = dt.ToFileTimeUtc().ToString();//127756704859912816
// Labe ......
ASP.NET defines an application as the sum of all files, pages, handlers, modules, and executable code that can be invoked or run in the scope of a given virtual directory (and its subdirectories) on a Web application server. For example, an "order" application might be published in the "/order" virt ......
