क्वेरी स्ट्रिंग के छेड़छाड़ से कैसे बचें?

Question

हाय,

मेरे पास एक क्वेरी स्ट्रिंग है जैसे "http://project/page1.aspx?userID=5"। ऑपरेशन नहीं किया जाएगा, अगर 'userID' पैरामीटर मैन्युअल रूप से बदल दिया गया है। यह कैसे संभव है?

Answer 1

Hii सब, पर ही आपकी सहायता के लिए धन्यवाद ... और मुझे कुछ अन्य साइटों से कुछ अंतर समाधान मिला। मुझे नहीं पता कि सबसे अच्छा समाधान है। यह एक एन्क्रिप्शन और डिक्रिप्शन एल्गोरिदम का उपयोग कर मान को एन्कोड करना है ... नमूना कोड इस तरह लिखा गया है ...

<a href='Page1.aspx?UserID=<%= HttpUtility.UrlEncode(TamperProofStringEncode("5","F44fggjj")) %>'> 
     Click Here</a> <!--Created one anchor tag and call the function for TamperProofStringEncode--> 

---

    
private string TamperProofStringEncode(string value, string key) 
{ 
      System.Security.Cryptography.MACTripleDES mac3des = new System.Security.Cryptography.MACTripleDES(); 
      System.Security.Cryptography.MD5CryptoServiceProvider md5 = new System.Security.Cryptography.MD5CryptoServiceProvider(); 
      mac3des.Key = md5.ComputeHash(System.Text.Encoding.UTF8.GetBytes(key)); 
      return Convert.ToBase64String(System.Text.Encoding.UTF8.GetBytes(value)) + "-" + Convert.ToBase64String(mac3des.ComputeHash(System.Text.Encoding.UTF8.GetBytes(value))); 
     } 
 

---

'पृष्ठ 1' के पृष्ठ लोड में डिकोड एल्गोरिथ्म फोन क्वेरी स्ट्रिंग डिकोड करने के लिए

try 
     { 
      string DataString = TamperProofStringDecode(Request.QueryString["UserID"], "F44fggjj"); 
      Response.Write(DataString); 
     } 
     catch (Exception ex) 
     { 
      Response.Write(ex.Message); 
     } 

---

private string TamperProofStringDecode(string value, string key) 
    { 
     string dataValue = ""; 
     string calcHash = ""; 
     string storedHash = ""; 

     System.Security.Cryptography.MACTripleDES mac3des = new System.Security.Cryptography.MACTripleDES(); 
     System.Security.Cryptography.MD5CryptoServiceProvider md5 = new System.Security.Cryptography.MD5CryptoServiceProvider(); 
     mac3des.Key = md5.ComputeHash(System.Text.Encoding.UTF8.GetBytes(key)); 

     try 
     { 
      dataValue = System.Text.Encoding.UTF8.GetString(Convert.FromBase64String(value.Split('-')[0])); 
      storedHash = System.Text.Encoding.UTF8.GetString(Convert.FromBase64String(value.Split('-')[1])); 
      calcHash = System.Text.Encoding.UTF8.GetString(mac3des.ComputeHash(System.Text.Encoding.UTF8.GetBytes(dataValue))); 

      if (storedHash != calcHash) 
      { 
       //'Data was corrupted 
       throw new ArgumentException("Hash value does not match"); 
       // 'This error is immediately caught below 

      } 
     } 
     catch (Exception ex) 
     { 
      throw new ArgumentException("Invalid TamperProofString"); 
     } 

     return dataValue; 

    } 

Answer 2

आप यह नहीं बता सकते कि इसे मैन्युअल रूप से बदला गया है या नहीं। यदि आप क्वेरी स्ट्रिंग का उपयोग करते हैं तो आप यह सुनिश्चित करने के लिए प्रचार करते हैं कि इससे कोई फर्क नहीं पड़ता कि यह बदला गया है या नहीं। जैसे यदि आप इसका उपयोग अपने उपयोगकर्ता के विवरण दिखाने के लिए कर रहे हैं, तो आपको चयनित उपयोगकर्ता को गीला करने की आवश्यकता है, वर्तमान उपयोगकर्ता है और यदि उपयोगकर्ता नहीं है तो उपयोगकर्ता डेटा के बजाय एक त्रुटि संदेश दिखाएं।

Answer 3

यह एक अजीब आवश्यकता की तरह लगता है। क्या आप कुछ प्रकार की घरेलू उगाने वाली सुरक्षा को लागू करने की कोशिश कर रहे हैं? यदि ऐसा है, तो आपको वास्तव में नहीं करना चाहिए।

वैसे भी, आप इसे एक तरह से कर सकते हैं, यह पूरे यूआरएल http://project/page1.aspx?userID=5 लेना होगा और इसकी md5 sum की गणना करना होगा। फिर आप एमडी 5 योग को अंतिम यूआरएल में जोड़ते हैं, जैसे कि http://project/page1.aspx?userID=5&checksum=YOURCALCULATEDMD5SUM। फिर पेज 1.aspx में आपको यह सत्यापित करना होगा कि चेकसम पैरामीटर सही है।

हालांकि, यह दृष्टिकोण काफी भद्दा है और यह आपके द्वारा उपयोग किए गए एल्गोरिदम को समझने के लिए किसी भी व्यक्ति के लिए अनिवार्य रूप से बहुत लंबा नहीं लगेगा। यदि उन्होंने किया तो वे उपयोगकर्ता को "आसानी से" बदल सकते हैं और एमडी 5 योग स्वयं की गणना कर सकते हैं। एक और मजबूत दृष्टिकोण वह होगा जहां चेकसम को उस कुंजी द्वारा एन्क्रिप्ट किया गया था जिसे केवल आपके पास पहुंच थी। लेकिन फिर मुझे ऐसा करने के लिए अपने मकसद पर सवाल उठाना है, क्योंकि अन्य सुरक्षा समाधान मौजूद हैं जो बहुत बेहतर हैं।

Answer 4

खैर - यह निर्भर करता है :)

एक संभावना यह एक सत्र चर में userID डाल करने के लिए है। तो उपयोगकर्ता मूल्य को देख या संपादित नहीं कर सकता है।

यदि आपके पास यह पता लगाने के अन्य साधन हैं कि मूल्य अमान्य (यानी मौजूद नहीं है या उस उपयोगकर्ता के लिए नहीं हो सकता है (जिसे आप किसी अन्य तरीके से पहचान सकते हैं) या जैसा) आप इसे सत्यापित करने से दूर हो सकते हैं अपने आप को पीछे कोड में इनपुट करें।

लेकिन जैसा कि आप शायद जानते हैं कि आप उपयोगकर्ता को क्वेरी स्ट्रिंग को बदलने से नहीं रोक सकते हैं।

Answer 5

आप नहीं कर सकते।

HTTP अनुरोध (यूआरएल, क्वेरी स्ट्रिंग, कुकीज़, ... सहित) में कुछ भी ग्राहक के नियंत्रण में है और नकली आसान है।

यही कारण है कि वैध सामग्री को श्वेतसूची में रखना महत्वपूर्ण है, क्योंकि क्लाइंट मनमाने ढंग से जो भी आपको प्राप्त करने के लिए प्रेरित करता है उसके अलावा कुछ भी जोड़ सकता है।

Answer 6

यदि उपयोगकर्ता को रिकॉर्ड 5 बदलने की अनुमति है, लेकिन उदाहरण के लिए 7 रिकॉर्ड नहीं किया गया है, तो इसे सर्वर-साइड लागू करना होगा। ऐसा करने के लिए आपको लॉगिन की आवश्यकता के अनुसार उपयोगकर्ता की पहचान करने और उन्हें एक अद्वितीय सत्र कुंजी प्रदान करने की आवश्यकता है जो उनके ब्राउज़र कुकी में संग्रहीत है, या यूआरएल क्वेरी स्ट्रिंग में एक और पैरामीटर के रूप में।

प्रचुर मात्रा में संकुल/मॉड्यूल/एक समझदार तरह से प्रमाणीकरण और सत्र से निपटने के लिए आदमी भाषाओं में पुस्तकालयों रहे हैं - रोल आप अपने स्वयं के जोखिम :)

Answer 7

मेरा पसंदीदा टी है वह पीछा करता है यह क्वेरीस्ट्रिंग के छेड़छाड़ को रोकने के उद्देश्य स्पष्ट के साथ Querystring को पारदर्शी रूप से एन्कोड और डीकोड करने के लिए HTTPmodule का उपयोग करता है।

http://www.mvps.org/emorcillo/en/code/aspnet/qse.shtml

यह एकदम सही है जब सत्र एक विकल्प नहीं है!

Answer 8

यहाँ एक और विकल्प है कि मैं अपने आवश्यकताओं के लिए अविश्वसनीय रूप से उपयोगी पाया है:

4 Guys From Rolla - Passing Tamper-Proof QueryString Parameters