Wie ernst ist diese neue Sicherheitslücke in ASP.NET und wie kann ich sie umgehen?

Ich habe gerade im Internet über eine neu entdeckte Sicherheitslücke in ASP.NET gelesen. Die Details können Sie hier lesen.

Das Problem liegt in der Art und Weise, wie ASP.NET den AES-Verschlüsselungsalgorithmus implementiert, um die Integrität der Cookies zu schützen, die diese Anwendungen generieren, um Informationen während Benutzersitzungen zu speichern.

Das ist ein bisschen vage, aber hier ist ein erschreckenderer Teil:

Die erste Phase des Angriffs dauert einige tausend Anfragen, aber sobald er erfolgreich ist und der Angreifer die geheimen Schlüssel erhält, ist er völlig verstohlen. Die erforderlichen kryptografischen Kenntnisse sind sehr grundlegend.

Alles in allem bin ich mit dem Thema Sicherheit / Kryptographie nicht vertraut genug, um zu wissen, ob dies wirklich so ernst ist.

Sollten alle ASP.NET-Entwickler diese Technik fürchten, die jede ASP.NET-Website in Sekunden besitzen kann, oder was?

Wie wirkt sich dieses Problem auf den durchschnittlichen ASP.NET-Entwickler aus? Betrifft es uns überhaupt? Welche Konsequenzen hat diese Sicherheitsanfälligkeit im wirklichen Leben? Und schließlich: Gibt es eine Problemumgehung, die diese Sicherheitsanfälligkeit verhindert?

Danke für deine Antworten!

EDIT: Lassen Sie mich die Antworten zusammenfassen, die ich erhalten habe

Dies ist also im Grunde eine Art "Padding Orakel" -Angriff. @Sri lieferte eine großartige Erklärung, was diese Art von Angriff bedeutet. Hier ist ein schockierendes Video zu diesem Thema!

Über die Schwere dieser Sicherheitsanfälligkeit: Ja, es ist in der Tat schwerwiegend. Dadurch kann der Angreifer den Maschinenschlüssel einer Anwendung kennenlernen. So kann er einige sehr unerwünschte Dinge tun .

• Im Besitz des Computerschlüssels der App kann der Angreifer Authentifizierungscookies entschlüsseln.
• Schlimmer noch, er kann Authentifizierungs-Cookies mit dem Namen eines beliebigen Benutzers generieren . Somit kann er als jeder auf der Site erscheinen. Die Anwendung kann nicht zwischen Ihnen und dem Hacker unterscheiden, der ein Authentifizierungscookie mit Ihrem Namen für sich selbst generiert hat.
• Außerdem kann er Sitzungscookies entschlüsseln (und auch generieren) , obwohl dies nicht so gefährlich ist wie das vorherige.
• Nicht so ernst: Er kann den verschlüsselten ViewState von Seiten entschlüsseln. (Wenn Sie ViewState zum Speichern vertraulicher Daten verwenden, sollten Sie dies sowieso nicht tun!)
• Ganz unerwartet : Mit Kenntnis des Maschinenschlüssels kann der Angreifer jede beliebige Datei von Ihrer Webanwendung herunterladen , auch solche, die normalerweise nicht heruntergeladen werden können! (Einschließlich Web.Config usw.)

Im Folgenden finden Sie eine Reihe bewährter Methoden, die das Problem nicht lösen, aber die allgemeine Sicherheit einer Webanwendung verbessern.

• Sie können vertrauliche Daten mit Protected Configuration verschlüsseln
• Verwenden Sie nur HTTP-Cookies
• Verhindern Sie DoS-Angriffe

Konzentrieren wir uns nun auf dieses Thema.

• Scott Guthrie hat einen Eintrag darüber in seinem Blog veröffentlicht
• ScottGus FAQ-Blogbeitrag über die Sicherheitsanfälligkeit
• ScottGus Update zur Sicherheitsanfälligkeit
• Microsoft hat einen Sicherheitshinweis dazu
• Die Sicherheitsanfälligkeit verstehen
• Zusätzliche Informationen zur Sicherheitsanfälligkeit

Die Lösung

• Aktivieren Sie customErrors und erstellen Sie eine einzelne Fehlerseite, auf die alle Fehler umgeleitet werden. Ja, sogar 404er . (ScottGu sagte, dass die Unterscheidung zwischen 404 und 500 für diesen Angriff wesentlich ist.) Auch in Ihren Application_Erroroder Error.aspxeinen Code einfügen, der eine zufällige Verzögerung verursacht. (Generieren Sie eine Zufallszahl und verwenden Sie Thread.Sleep, um so lange zu schlafen.) Dadurch kann der Angreifer nicht entscheiden, was genau auf Ihrem Server passiert ist.
• Einige Leute empfahlen, wieder zu 3DES zu wechseln. Wenn Sie AES nicht verwenden, treten theoretisch keine Sicherheitslücken in der AES-Implementierung auf. Wie sich herausstellt, wird dies überhaupt nicht empfohlen .

Einige andere Gedanken

• Es scheint, dass nicht jeder der Meinung ist, dass die Problemumgehung gut genug ist.

Vielen Dank an alle, die meine Frage beantwortet haben. Ich habe nicht nur über dieses Problem, sondern auch über die Web-Sicherheit im Allgemeinen viel gelernt. Ich habe die Antwort von @ Mikael als akzeptiert markiert, aber die anderen Antworten sind auch sehr nützlich.

Was soll ich tun, um mich zu schützen?

[Update 29.09.2010]

Microsoft Security Bulletin

KB Artikel mit Bezug auf das Update

ScottGu hat Links für die Downloads

[Update 25.09.2010]

Während wir auf das Update warten, hat ScottGu gestern ein Update veröffentlicht, wie Sie einen zusätzlichen Schritt hinzufügen können, um Ihre Websites mit einer benutzerdefinierten URLScan-Regel zu schützen.

Fügen Sie außerdem auf der Fehlerseite einen zufälligen Schlaf hinzu, um zu verhindern, dass der Angreifer die Antworten für hinzugefügte Angriffsinformationen zeitlich festlegt .

In der web.config

<configuration>
 <location allowOverride="false">
   <system.web>
     <customErrors mode="On" defaultRedirect="~/error.html" />
   </system.web>
 </location>
</configuration>

Dadurch wird jeder Fehler auf eine benutzerdefinierte Seite umgeleitet, die mit einem 200-Statuscode zurückgegeben wird. Auf diese Weise kann ein Angreifer den Fehlercode oder die Fehlerinformationen nicht nach Informationen durchsuchen, die für weitere Angriffe erforderlich sind.

Es ist auch sicher einzustellen customErrors mode="RemoteOnly", da dadurch "echte" Clients umgeleitet werden. Nur beim Surfen von localhost werden interne .NET-Fehler angezeigt.

Der wichtige Teil besteht darin, sicherzustellen, dass alle Fehler so konfiguriert sind, dass dieselbe Fehlerseite zurückgegeben wird. Dazu müssen Sie das defaultRedirectAttribut im <customErrors>Abschnitt explizit festlegen und sicherstellen, dass keine Statuscodes festgelegt sind.

Was auf dem Spiel steht?

Wenn es einem Angreifer gelingt, den genannten Exploit zu verwenden, kann er interne Dateien aus Ihrer Webanwendung herunterladen. In der Regel ist web.config ein Ziel und enthält möglicherweise vertrauliche Informationen wie Anmeldeinformationen in einer Datenbankverbindungszeichenfolge oder sogar einen Link zu einer automatisch ausgelegten SQL-Express-Datenbank, auf die niemand zugreifen soll. Wenn Sie jedoch die bewährten Methoden befolgen, verwenden Sie die geschützte Konfiguration , um alle vertraulichen Daten in Ihrer web.config zu verschlüsseln.

Links zu Referenzen

Lesen Sie den offiziellen Kommentar von Microsoft zur Sicherheitsanfälligkeit unter http://www.microsoft.com/technet/security/advisory/2416728.mspx . Insbesondere der Teil "Problemumgehung" für Implementierungsdetails zu diesem Problem.

Außerdem einige Informationen in ScottGus Blog, einschließlich eines Skripts zum Auffinden anfälliger ASP.Net-Apps auf Ihrem Webserver.

Eine Erklärung zu " Grundlegendes zum Auffüllen von Oracle-Angriffen" finden Sie in der Antwort von @ sri .

Kommentare zum Artikel:

Der Angriff, den Rizzo und Duong gegen ASP.NET-Apps implementiert haben, erfordert, dass die Krypto-Implementierung auf der Website über ein Orakel verfügt, das beim Senden von Chiffretext nicht nur den Text entschlüsselt, sondern dem Absender auch eine Nachricht darüber gibt, ob das Auffüllen im Chiffretext erfolgt ist gültig .

Wenn das Auffüllen ungültig ist, gibt ihm die Fehlermeldung, die der Absender erhält, einige Informationen darüber, wie der Entschlüsselungsprozess der Site funktioniert.

Damit der Angriff funktioniert, muss Folgendes zutreffen:

• Ihre Anwendung muss eine Fehlermeldung über die Ungültigkeit der Auffüllung geben.
• Jemand muss Ihre verschlüsselten Cookies oder Ihren Ansichtsstatus manipulieren

Wenn Sie also in Ihrer App lesbare Fehlermeldungen wie "Etwas ist schief gelaufen, versuchen Sie es erneut" zurückgeben , sollten Sie ziemlich sicher sein. Wenn Sie die Kommentare zum Artikel ein wenig lesen, erhalten Sie auch wertvolle Informationen.

• Speichern Sie eine Sitzungs-ID im verschlüsselten Cookie
• Speichern Sie die realen Daten im Sitzungsstatus (in einer Datenbank gespeichert)
• Fügen Sie eine zufällige Wartezeit hinzu, wenn Benutzerinformationen falsch sind, bevor Sie den Fehler zurückgeben, damit Sie ihn nicht zeitlich festlegen können

Auf diese Weise kann ein entführtes Cookie nur zum Abrufen einer Sitzung verwendet werden, die höchstwahrscheinlich nicht mehr vorhanden oder ungültig ist.

Es wird interessant sein zu sehen, was auf der Ekoparty-Konferenz tatsächlich vorgestellt wird, aber im Moment mache ich mir keine allzu großen Sorgen um diese Sicherheitsanfälligkeit.

Grundlegendes zum Auffüllen von Oracle-Angriffen

Nehmen wir an, Ihre Anwendung akzeptiert eine verschlüsselte Zeichenfolge als Parameter - ob der Parameter ein Cookie, ein URL-Parameter oder etwas anderes ist, spielt keine Rolle. Wenn die Anwendung versucht, sie zu dekodieren, gibt es drei mögliche Ergebnisse:

1. Ergebnis 1 : Die verschlüsselte Zeichenfolge wurde ordnungsgemäß entschlüsselt, und die Anwendung konnte einen Sinn daraus ziehen. Das heißt, wenn die verschlüsselte Zeichenfolge eine 10-stellige Kontonummer war, fand die Anwendung nach der Entschlüsselung etwas wie "1234567890" und nicht "abcd1213ef".

2. Ergebnis 2 : Die Auffüllung war korrekt, aber nach der Entschlüsselung war die erhaltene Zeichenfolge Kauderwelsch, den die App nicht verstehen konnte. Beispielsweise wurde die Zeichenfolge in "abcd1213ef" entschlüsselt, aber die App erwartete nur Zahlen. Die meisten Apps zeigen eine Meldung wie "Ungültige Kontonummer" an.

3. Ergebnis 3 : Das Auffüllen war falsch und die Anwendung hat eine Fehlermeldung ausgegeben. Die meisten Apps zeigen eine allgemeine Meldung wie "Es ist ein Fehler aufgetreten" an.

Damit ein Padding Oracle-Angriff erfolgreich ist, muss der Angreifer in der Lage sein, mehrere Tausend Anfragen zu stellen und die Antwort fehlerfrei in einen der oben genannten drei Buckets zu klassifizieren.

Wenn diese beiden Bedingungen erfüllt sind, kann der Angreifer die Nachricht eventuell entschlüsseln und sie dann nach Belieben erneut verschlüsseln. Es ist nur eine Frage der Zeit.

Was kann getan werden, um dies zu verhindern?

1. Einfachste Sache - alles, was sensibel ist, sollte niemals verschlüsselt oder nicht verschlüsselt an den Client gesendet werden. Behalte es auf dem Server.

2. Stellen Sie sicher, dass Ergebnis 2 und Ergebnis 3 in der obigen Liste für den Angreifer genau gleich sind . Es sollte keine Möglichkeit geben, voneinander zu unterscheiden. Dies ist jedoch nicht so einfach - ein Angreifer kann mithilfe einer Art Timing-Angriff unterscheiden.

3. Verwenden Sie als letzte Verteidigungslinie eine Webanwendungs-Firewall. Der Padding-Orakel-Angriff muss mehrere Anforderungen stellen, die fast gleich aussehen (jeweils ein Bit ändern), damit eine WAF solche Anforderungen abfangen und blockieren kann.

PS Eine gute Erklärung zum Auffüllen von Oracle-Angriffen finden Sie in diesem Blog-Beitrag . Haftungsausschluss: Es ist NICHT mein Blog.

Nach dem, was ich bis jetzt gelesen habe ...

Der Angriff ermöglicht es jemandem, geräucherte Cookies zu entschlüsseln, die wertvolle Daten wie Bankguthaben enthalten können

Sie benötigen in jedem Fall das verschlüsselte Cookie eines Benutzers, der bereits angemeldet ist. Sie müssen auch Daten in Cookies finden - ich hoffe, dass Entwickler kritische Daten nicht in Cookies speichern :). Und es gibt eine Möglichkeit, die ich unten habe, damit asp.net keine Daten im Login-Cookie speichert.

Wie kann jemand das Cookie eines Benutzers erhalten, der online ist, wenn er die Browserdaten nicht in die Hände bekommt? Oder das IP-Paket schnüffeln?

Eine Möglichkeit, dies zu verhindern, besteht darin, Cookies nicht ohne SSL-Verschlüsselung transportieren zu lassen.

<httpCookies httpOnlyCookies="true" requireSSL="true" />

Eine weitere Maßnahme besteht darin, das Speichern von Rollen in Cookies zu verhindern.

<roleManager enabled="true" cacheRolesInCookie="false">

Was nun die Cookies betrifft, die für die regulären Seiten nicht sicher sind, müssen Sie genauer überlegen, was Sie Ihrem Benutzer überlassen haben und was nicht, wie Sie ihm vertrauen und welche zusätzlichen Überprüfungen Sie durchführen können (z. B. wenn Sie eine Änderung auf der IP sehen , vielleicht hör auf, ihm zu vertrauen, bis du dich von der Sicherheitsseite wieder anmeldest).

Referenz:
Kann ein Hacker einem Benutzer das Cookie stehlen und sich mit diesem Namen auf einer Website anmelden?

So überprüfen Sie, woher Angriffe kommen und geben keine Informationen zurück. Ich habe hier einen einfachen Weg geschrieben, um zu verhindern, dass das Auffüllen ungültig ist und gleichzeitig protokolliert wird, um Angreifer aufzuspüren: CryptographicException: Das Auffüllen ist ungültig und kann nicht entfernt werden, und die Überprüfung des Viewstate-MAC ist fehlgeschlagen

Um den Angreifer zu verfolgen, müssen Sie überprüfen, ob die Auffüllung ungültig ist. Mit einem einfachen Verfahren können Sie sie aufspüren und blockieren - sie benötigen einige Tausend Anrufe auf Ihrer Seite, um den Schlüssel zu finden!

Update 1.

Ich habe das Tool heruntergeladen, das davon ausgeht, dass es den SCHLÜSSEL findet und die Daten entschlüsselt, und wie gesagt, die Falle auf dem obigen Code, der den Ansichtsstatus überprüft . Von meinen Tests hat dieses Tool noch viel mehr zu beheben, zum Beispiel kann der Status der komprimierten Ansicht nicht so wie er ist und seinen Absturz bei meinen Tests scannen.

Wenn jemand versucht, dieses Tool oder diese Methode zu verwenden, kann der obige Code sie aufspüren und Sie können sie mit einfachem Code wie "Verhindern von Denial Of Service (DOS)" oder wie diesem Code zum Verhindern von Verweigerung von Ihrer Seite blockieren des Dienstes .

Update 2

Es scheint von dem, was ich bis jetzt gelesen habe, dass der einzige Gedanke, der es wirklich braucht, um keine Informationen über den Fehler zurückzugeben , und einfach eine benutzerdefinierte Fehlerseite zu platzieren und wenn Sie möchten, können Sie einfach eine zufällige Verzögerung für diese Seite erstellen.

Ein sehr interessantes Video zu diesem Thema.

All dies ist mehr Maß für mehr Schutz, aber nicht 100% notwendig für dieses spezielle Problem. Zum Beispiel ist die Verwendung von SSL-Cookies das Problem zu lösen, die Rollen in Cookies nicht zwischenzuspeichern. Es ist gut, keine großen Cookies zu senden und zurückzugewinnen und jemanden zu vermeiden, der bereit ist, den Code zu knacken, um einfach die Administratorrolle zu platzieren der Keks von ihm.

Der Viewstate-Track ist nur eine weitere Maßnahme, um einen Angriff zu finden.

Hier ist die MS-Antwort. Alles läuft darauf hinaus, "eine benutzerdefinierte Fehlerseite zu verwenden", und Sie werden keine Hinweise preisgeben.

EDIT
Hier sind einige detailliertere Informationen von scottgu.

Hinzufügen der Antworten von ScottGu aus der Diskussion unter http://weblogs.asp.net/scottgu/archive/2010/09/18/important-asp-net-security-vulnerability.aspx

Ist benutzerdefiniertes IHttpModule anstelle von customErrors betroffen?

F: Ich habe kein Element in meiner web.config deklariert, sondern ein IHttpModule im Abschnitt. Dieses Modul protokolliert den Fehler und leitet ihn entweder zu einer Suchseite (für 404) oder zu einer Fehlerseite (für 500) weiter. Bin ich verletzlich?

A: Ich würde empfehlen, das Modul vorübergehend zu aktualisieren, um immer zur Suchseite umzuleiten. Eine der Möglichkeiten, wie dieser Angriff funktioniert, besteht darin, nach einer Unterscheidung zwischen 404s und 500 Fehlern zu suchen. Es ist eine Möglichkeit, immer denselben HTTP-Code zurückzugeben und an denselben Ort zu senden, um ihn zu blockieren.

Beachten Sie, dass Sie dies nicht tun müssen, wenn der Patch veröffentlicht wird, um dies zu beheben (und zum alten Verhalten zurückkehren können). Aber im Moment würde ich Kunden empfehlen, nicht zwischen 404 und 500 zu unterscheiden.

Kann ich weiterhin verschiedene Fehler für 404- und 500-Fehler verwenden?

F: Ich gehe davon aus, dass zusätzlich zur Standardumleitung bei Fehlern noch eine benutzerdefinierte 404-Seite definiert werden kann, ohne die oben beschriebenen Prinzipien zu verletzen.

A: Nein - bis wir einen Patch für das eigentliche Update veröffentlichen, empfehlen wir die oben beschriebene Problemumgehung, die alle Fehler homogenisiert. Eine der Möglichkeiten, wie dieser Angriff funktioniert, besteht darin, nach einer Unterscheidung zwischen 404s und 500 Fehlern zu suchen. Es ist eine Möglichkeit, immer denselben HTTP-Code zurückzugeben und an denselben Ort zu senden, um ihn zu blockieren.

Beachten Sie, dass Sie dies nicht tun müssen, wenn der Patch veröffentlicht wird, um dies zu beheben (und zum alten Verhalten zurückkehren können). Im Moment sollten Sie jedoch nicht zwischen 404 und 500 für Kunden unterscheiden.

Wie ermöglicht dies die Belichtung von web.config?

F: Wie ermöglicht dies die Offenlegung von web.config? Dies scheint nur die Entschlüsselung von ViewState zu ermöglichen. Gibt es eine andere verwandte Sicherheitsanfälligkeit, die auch die Offenlegung von Informationen ermöglicht? Gibt es ein Whitepaper, in dem der Angriff detailliert beschrieben wird, um besser zu erklären, was vor sich geht?

A: Der in der Öffentlichkeit gezeigte Angriff basiert auf einer Funktion in ASP.NET, mit der Dateien (normalerweise Javascript und CSS) heruntergeladen werden können und die mit einem Schlüssel gesichert ist, der als Teil der Anforderung gesendet wird. Wenn Sie einen Schlüssel fälschen können, können Sie diese Funktion leider verwenden, um die Datei web.config einer Anwendung herunterzuladen (jedoch keine Dateien außerhalb der Anwendung). Wir werden natürlich einen Patch dafür veröffentlichen - bis dahin schließt die obige Problemumgehung den Angriffsvektor.

BEARBEITEN: Zusätzliche FAQ im zweiten Blogpost unter http://weblogs.asp.net/scottgu/archive/2010/09/20/frequently-asked-questions-about-the-asp-net-security-vulnerability.aspx

IMO, es gibt keine pauschale Prävention dafür, es muss von Fall zu Fall gehandhabt werden:

http://www.onpreinit.com/2010/09/aspnet-vulnerability-workaround-flawed.html

Einige wichtige Links:

• MS 'Security Advisory 2416728 (dies sind die offiziellen Informationen)
• Zusätzliche Informationen vom MS Security Research & Defense-Team
  • "Grundlegendes zur Sicherheitsanfälligkeit in ASP.NET" (17.09.2010)
  • "Zusätzliche Informationen zur Sicherheitsanfälligkeit in ASP.NET" (20.09.2010)
• Scott Gu: "Wichtig: Sicherheitsanfälligkeit in ASP.NET" (18.09.2010)

[Um den Ernsthaftigkeitsaspekt zu beantworten (was veröffentlicht wurde und Problemumgehungen werden durch andere Antworten abgedeckt).]

Der angegriffene Schlüssel wird verwendet, um sowohl den Ansichtsstatus als auch Sitzungscookies zu schützen. Normalerweise wird dieser Schlüssel intern von ASP.NET mit jeder neuen Instanz der Webanwendung generiert. Dies begrenzt den Umfang des Schadens auf die Lebensdauer des Arbeitsprozesses. Bei einer geschäftigen Anwendung können dies natürlich Tage sein (dh keine große Begrenzung). Während dieser Zeit kann der Angreifer Werte in den ViewState ändern (oder einfügen) und ihre Sitzung ändern.

Noch ernsthafter ist es, wenn Sie möchten, dass Sitzungen die Lebensdauer von Arbeitsprozessen überbrücken oder Webfarmen zulassen (dh alle Instanzen in der Farm können jede Benutzersitzung verarbeiten), dass der Schlüssel fest codiert werden muss. Dies geschieht in web.config:

[...]
  <system.web>
    <machineKey
        decryption="AES"
        validation="SHA1"
        decryptionKey="57726C59BA73E8A4E95E47F4BC9FB2DD"
        validationKey="158B6D89EE90A814874F1B3129ED00FB8FD34DD3"
      />

Dies sind natürlich neu erstellte Schlüssel. Ich verwende die folgende PowerShell, um auf den kryptografischen Zufallszahlengenerator von Windows zuzugreifen:

$rng = New-Object "System.Security.Cryptography.RNGCryptoServiceProvider"
$bytes = [Array]::CreateInstance([byte], 20)
$rng.GetBytes($bytes)
$bytes | ForEach-Object -begin { $s = "" } -process { $s = $s + ("{0:X2}" -f $_) } -end { $s}

(Verwenden einer Array-Länge von 20 für die Validierung und 16 für die Entschlüsselungsschlüssel.)

Neben der Änderung der öffentlichen Fehlerseiten, um den spezifischen Fehler nicht zu verlieren, scheint es ein guter Zeitpunkt zu sein, die oben genannten Schlüssel zu ändern (oder Worker-Prozesse zu durchlaufen, wenn sie eine Weile ausgeführt wurden).

[Bearbeiten 21.09.2010: Links nach oben hinzugefügt]

Ich habe gerade meine vollständige Meinung dazu in meinem Blog veröffentlicht , nachdem ich zusätzliche Nachforschungen zu diesem Thema angestellt hatte. Ich denke, es ist wichtig herauszufinden, warum sie so weit kommen, ein Auth-Cookie zu fälschen.

Ich möchte nur einige Fakten klarstellen:

1. Bei einem Angriff erhalten Sie den Maschinenschlüssel nicht direkt. Das heißt, es ist ziemlich ähnlich, da es erlaubt, die Nachrichten zu entschlüsseln und neue zu ändern / neu zu verschlüsseln.
2. Die Art und Weise, wie die tatsächlichen Schlüssel abgerufen werden, besteht darin, ihre Fähigkeit zu nutzen, die Neuverschlüsselung wie in 1 zu ändern und die web.config abzurufen. Leider gibt es Gründe, warum einige diese Schlüssel auf Site-Ebene in die web.config einfügen (andere Diskussion), und im Beispielvideo profitieren sie davon, dass dies die Standardeinstellung von DotnetNuke ist.
3. Um die web.config zu erhalten, weisen Sie darauf hin, dass sie webresources.axd und / oder scriptresources.axd verwenden. Ich dachte, diese funktionieren nur mit eingebetteten Ressourcen, aber es scheint, dass dies einfach nicht der Fall ist.
4. Wenn es sich bei der App um asp.net MVC handelt, benötigen wir nicht wirklich webresources.axd und / oder scriptresources.axd, sodass diese deaktiviert werden können. Wir verwenden auch keinen Viewstate. Das heißt, es ist mir unklar, ob eine der anderen asp.net-Funktionen andere Informationen mit der Problemumgehung liefert, dh ich weiß nicht, ob das Auffüllen ungültige Fehlerergebnisse liefert, während das Auffüllen gültiger Ergebnisse im ignorierten Authentifizierungsticket (weiß nicht) ob dies der Fall ist oder nicht) ... die gleiche Analyse sollte für das Sitzungscookie gelten.
5. Deaktivieren Sie die Rollen des asp.net-Mitgliedsanbieters in Cookies.

Ungefähr 1, afaik die verschlüsselten Nachrichten können nicht 100% willkürlich sein, um ein winziges Stück Müll irgendwo in der Nachricht zu tolerieren, da es 1 Block in der Nachricht gibt, der Wert entschlüsselt, der nicht gesteuert werden kann.

Abschließend möchte ich sagen, dass dieses Problem das Ergebnis von ms ist, die in diesem Fall nicht ihrer eigenen Anleitung folgen: Eine Funktion basiert darauf, dass etwas, das an den Client gesendet wird, manipulationssicher ist.

Mehr zu:

Ich weiß nicht, ob das Auffüllen fehlerhafte ungültige Ergebnisse liefert, während das Auffüllen gültiger Ergebnisse im ignorierten Authentifizierungsticket (weiß nicht, ob dies der Fall ist oder nicht) ... die gleiche Analyse sollte für das Sitzungscookie gelten.

Das Auth-Cookie ist signiert, und anhand der Informationen im Papier sollten sie kein signiertes Cookie generieren können, wenn sie nicht zu den eigentlichen Schlüsseln gelangen (wie im Video vor dem Fälschen des Auth-Cookies).

Wie Aristos erwähnt hat, ist die Sitzungs-ID im Cookie für die Benutzersitzung zufällig, sodass sie von einem Benutzer mit der Zielsicherheitsstufe abgehört und geknackt werden muss, während diese Sitzung aktiv ist. Selbst wenn Sie sich auf die Authentifizierung verlassen, um die Benutzervorgänge zuzuweisen / zu autorisieren, ist die Auswirkung minimal / hängt stark davon ab, wofür die Sitzung in dieser App verwendet wird.

Ein Patch für diesen Fehler wurde unter Windows Update veröffentlicht: http://weblogs.asp.net/scottgu/archive/2010/09/30/asp-net-security-fix-now-on-windows-update.aspx

Asp.Net MVC ist ebenfalls von diesem Problem betroffen (ebenso wie Sharepoint, ...).

Ich habe das Update für MVC hier behandelt: Ist ASP.NET MVC anfällig für den Oracle Padding-Angriff?