क्या वेब ऐप का उल्लंघन करने के लिए __VIEWSTATE और __EVENTVALIDATION अनुसंधान के लिए उपयोग किया जा सकता है?

Question

मैं अब एएसपी.नेट सीख रहा हूं और मैं __VIEWSTATE और __EVENTVALIDATION द्वारा थोड़ा उलझन में हूं।

1. क्या ऐप के आंतरिक लोगों के बारे में जानने के लिए उन दो आइटमों को मूल्य पढ़ना संभव होगा और संभवतः इसे कुशल बनाना होगा। उदाहरण के लिए। लोग लिखते हैं कि __VIEWSTATE में उन तत्वों के गुणों के बारे में जानकारी शामिल है जो POSTBACK के माध्यम से वापस नहीं भेजे जाते हैं, उदाहरण के लिए लेबल की तरह। एक ऐप में लेबल के मूल्य को गलत जानकारी देने के लिए यह संभव नहीं होगा?

2. क्या __VIEWSTATE के मान को बहुत अधिक मूल्य के साथ बदलना संभव होगा ताकि जब इसे सर्वर पर वापस पोस्ट किया जाए तो यह जानकारी को डिकंप्रेस करने और/या वर्णित करने के लिए गंभीर ओवरहेड जोड़ता है और इस प्रकार मूल रूप से डीडीओएस बना रहा है?

Answer 1

1. हाँ, यह viewstate के मूल्यों को पढ़ने के लिए संभव है। यह बेस 64 एन्कोडेड है जिसका अर्थ यह नहीं है कि यह एन्क्रिप्ट किया गया है ताकि इसके मूल्यों को पढ़ने के लिए आपको बस बेस 64 से यूटीएफ -8 में परिवर्तित कर दिया जाए और आप इसकी सामग्री को पढ़ सकेंगे। Try it out here for yourself प्रत्येक नियंत्रण सूचीबद्ध है और उनके कई गुण हैं। सामग्रियों में हेरफेर करने के संबंध में, यह संभव है लेकिन सर्वर के अंत में संसाधित होने से पहले सामग्री को मान्य किया जाता है।

2. हां यह संभव है, यदि आपकी साइट पर हमले के लिए लक्षित किया गया है और बड़े दृश्यों के साथ बड़ी संख्या में बड़े अनुरोध भेजे गए थे तो इसका सर्वर पर एक समान प्रभाव होगा।

निम्नलिखित पर एक नज़र डालें:

• Denial of service attacks
• Viewstate info
• Truly understanding viewstate

Answer 2

1. हाँ, आप एक मशीन कुंजी का उपयोग कर इसे एन्क्रिप्ट नहीं है। इसे पढ़ें: Malicious use of view state
2. एन्क्रिप्शन और व्यूस्टेट मैक यहां सहायता करता है। इस पढ़ें: Protecting Your Site from DDoS Attacks

Answer 3

1. हाँ, हालांकि यह केवल गलत तरीके से है कि ग्राहक के लिए प्रदर्शित होगा। जब यह खतरनाक हो जाता है तब जब आप अपने व्यापार तर्क को करने के लिए यह मान पढ़ते हैं। आम तौर पर वेब ऐप्स के लिए ग्राहक से जानकारी पर भरोसा नहीं करते हैं। एएसपी.NET की डिफ़ॉल्ट सेटिंग्स के साथ संशोधन का पता लगाने के प्रयास के लिए व्यूस्टेट को मूल्य दिया गया है लेकिन अभी भी पर्याप्त इच्छा वाले किसी व्यक्ति द्वारा छेड़छाड़ की जा सकती है।

2. हां, यह क्लाइंट से प्राप्त फॉर्म पर केवल एक फ़ील्ड है। इस प्रकार इसे छेड़छाड़ की जा सकती है।