首页 > 其他分享 >未加密的__VIEWSTATE参数(中危)

未加密的__VIEWSTATE参数(中危)

时间:2024-08-05 14:27:28浏览次数:12  
标签:__ 加密 表单 中危 参数 VIEWSTATE ViewState

原文链接:https://blog.csdn.net/qq_44828901/article/details/122218593

前言

今天日常测站的时候,AWVS扫到一个“nencrypted __VIEWSTATE parameter(未加密的__VIEWSTATE参数)”,正好看过一个大佬的帖子,手动验证一波(手动滑稽)。

一、漏洞说明
简单理解:
表单提交在遇到服务器返回错误时候,再次填写表单时,上次填写的值不会被清空。

维持ViewState是ASP.NET Web Forms的默认设置。如果你想不维持ViewState,需在.aspx页面顶部包含提示,或者或者向任意控件添加属性EnableViewState=“false” 。

没有设置维持ViewState,当点击按钮提交,表单值将消失。

__VIEWSTATE 参数未加密,存在有人拦截存储在 ViewState 中的信息的机会。

二、漏洞危害

可能导致敏感信息泄露。(实际利用难度很大)

四、漏洞建议
请将machineKey验证类型设置为AES。这将使得 ASP.NET 使用AES算法加密ViewState 值。
打开 Web.Config 并在 元素下添加以下行:如下:
<system.web> <machinekey validation="3DES"></machinekey></system.web>

标签:__,加密,表单,中危,参数,VIEWSTATE,ViewState
From: https://www.cnblogs.com/Dongmy/p/18343163

相关文章

  • 郑钦文巴黎奥运网球女单夺冠,一年前已布局商标!
    在巴黎奥运会网球女子单打金牌赛中,我国选手郑钦文战胜克罗地亚选夺得金牌,也是我国网球单打首次获取奥运金牌,网球在全球有着很大的商业价值,普推知产商标老检索发现以郑钦文为申请人在2023年申请多个多类商标,现在都已基本下证。申请名称主要是“郑钦文”汉字,还有英文名称“Que......
  • 系统整容纪:用知识来"武装"自己~认识MySQL的锁与事务
    本文通过介绍在实际工作中一次异常排查引发的自我思考与学习,来使得读者受到一定的启发,从而迸发出星星点光,扩展出自己独有的思路,进而在工作中不断的挖掘自我不足之处,同时通过学习与"锻炼"来不断地强大自己。分享工作中的点点滴滴,贯彻千里之行,始于足下,最终以微不足道的量变引起化蝶......
  • 珠海市举办“数智赋能产业转型与创新培训专场”活动
    在数字经济的时代洪流中,如何抓住机遇,实现企业的高质量发展,成为众多中小企业亟待破解的课题。7月25日,在珠海市工业和信息化局的指导下,由珠海市中小企业服务中心主办,珠海市工业互联网协会承办的“数智赋能产业转型与创新培训专场”活动,在金山软件园成功举办,共吸引了我市100多位企业......
  • nodejs遇到的一个小问题分享给大家
    今天在调试项目的时候突然发现  const{name}=ctx.request.body 无法接收到参数了,后来检查了一下代码发现路由中间件和bodyparser中间件的加载顺序错了,导致无法接收参数,正确应该是这样:app.use(bodyParser());app.use(router.routes()).use(router.allowedMethods());......
  • 《构建之法》读后感
    在阅读了邹欣所著的《构建之法》之后,我深受启发,不仅加深了对软件工程的理解,还重新审视了自己在过去的工作和学习中的方法和态度。这本书从多个维度剖析了软件开发的构建过程,让我意识到自己在许多方面存在的不足,并提供了宝贵的改进建议。我过去是怎么做的在接触《构建之法》之前,......
  • 特殊成员函数
    C++提供的特殊成员函数1.你未定义构造函数会生成默认构造函数2.你未定义析构函数会生成默认析构函数3.未定义拷贝构造函数时生成拷贝构造函数4.赋值运算符=5.&取地址运算符拷贝构造函数使用1.使用赋值运算符时=2.进行值传递时,进行值传递意味会产生一份传递参数的拷贝。3.......
  • 图像降噪算法概述
    图像降噪是图像预处理中非常重要的一步,旨在去除图像中的噪声,以提高图像质量并为后续的图像分析提供更好的基础。图像降噪算法可以根据其原理和技术进行分类,主要包括以下几个大类:1.空域滤波方法这些方法直接在像素级别上操作,通常涉及邻域内像素值的加权平均。均值滤波:简单地......
  • 运算符
    2.5运算符目录2.5运算符算术运算符自增自减运算符关系运算符位运算符逻辑运算符赋值运算符条件运算符(?:)Java运算符优先级计算机的最基本用途之一就是执行数学运算,作为一门计算机语言,Java也提供了一套丰富的运算符来操纵变量。我们可以把运算符分成以下几组:算术运算符关系......
  • 日期时间类
    日期时间类一.Date类(日期时间)在Java中,Date类是java.util包的一部分,用于表示一个特定的瞬间,精确到毫秒。然而,需要注意的是,Date类本身并不包含任何时区信息,它仅仅表示自“Unix纪元”(即1970年1月1日00:00:00GMT)以来的毫秒数。因此,当你创建一个Date对象时,它实际上表示的是从那个......
  • STM32学习记录(一):STM32概述
    STM32F10x系统结构图STM32F10x的系统结构图如下[1]:框图中名词解释,按A~Z的顺序排列:AHB(AdvancedHighperformanceBus):先进高性能总线APB(AdvancedPeripheralBus):先进外设总线ADC(Analog-to-DigitalConverter):模拟/数字转换器BKP(Backupregisters):备份寄存器CAN(Cont......