网站安全通用防护代码(C#版本源码提供)
每一个开发者都会意识到,网站发布之前,需要进行安全检查。
那么如何拦截攻击者注入恶意代码?如何防御诸如跨站脚本攻击(XSS)、SQL注入攻击等恶意攻击行为?
针对目前常见的一些安全问题,结合目前一些常见的防护办法,通用权限管理系统底层增加了安全防护代码,
现将源码提供如下
namespace DotNet.Utilities
{
/// <summary>
/// 网站安全通用防护
///
/// 主要功能:
/// 拦截攻击者注入恶意代码,可以防御诸如跨站脚本攻击(XSS)、SQL注入攻击等恶意攻击行为。
///
/// 修改纪录
///
/// 2013-12-27,更新正则表达式避免误报问题。
/// 2013-01-08,更新了aspx防护脚本中referer变量冲突问题。
/// 2013-01-09,加入了UTF7编码XSS的防护。
/// 2013-01-28,增强了对XSS的防护。
/// 2013-01-31,针对某些用户后台上传文件出错的问题。
/// 2013-03-15,增强了对POST的防护。
/// 2013-03-28,增强了对XSS的防护。
/// 2013-04-25,对XSS防护加入了通用的防护方法。
/// 2013-08-02,加入对XSS编码绕过的防护。
/// 2013-08-14,增强利用样式的XSS防护。
/// 2014-11-12,解决SQL盲注不拦截的问题。
///
/// 2014-11-12 版本:1.0 SongBiao 创建文件。
///
/// <author>
/// <name>SongBiao</name>
/// <date>2014-11-12</date>
/// </author>
/// </summary>
public partial class SecretUtil
{
//正则过滤字符
private const string StrRegex = @"<[^>]+?style=[\w]+?:expression\(|\b(alert|confirm|prompt)\b|^\+/v(8|9)|<[^>]*?=[^>]*?&#[^>]*?>|\b(and|or)\b.{1,6}?(=|>|<|\bin\b|\blike\b)|/\*.+?\*/|<\s*script\b|<\s*img\b|\bEXEC\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\s+(TABLE|DATABASE)";
/// <summary>
/// POST请求
/// </summary>
/// <param name="putData">输出非法字符串</param>
/// <returns></returns>
public static bool PostData(out string putData)
{
bool result = false;
putData = string.Empty;
for (int i = ; i < HttpContext.Current.Request.Form.Count; i++)
{
result = CheckData(HttpContext.Current.Request.Form[i].ToString(), out putData);
if (result)
{
putData = HttpContext.Current.Request.Form[i].ToString();
break;
}
}
return result;
}
/// <summary>
/// GET请求
/// </summary>
/// <param name="putData">输出非法字符串</param>
/// <returns></returns>
public static bool GetData(out string putData)
{
bool result = false;
putData = string.Empty;
for (int i = ; i < HttpContext.Current.Request.QueryString.Count; i++)
{
result = CheckData(HttpContext.Current.Request.QueryString[i].ToString(), out putData);
if (result)
{
putData = HttpContext.Current.Request.QueryString[i].ToString();
break;
}
}
return result;
} /// <summary>
/// COOKIE
/// </summary>
/// <param name="putData">输出非法字符串</param>
/// <returns></returns>
public static bool CookieData(out string putData)
{
bool result = false;
putData = string.Empty;
for (int i = ; i < HttpContext.Current.Request.Cookies.Count; i++)
{
result = CheckData(HttpContext.Current.Request.Cookies[i].Value.ToLower(), out putData);
if (result)
{
putData = HttpContext.Current.Request.Cookies[i].Value.ToLower();
break;
}
}
return result; }
/// <summary>
/// UrlReferrer请求来源
/// </summary>
/// <param name="putData">输出非法字符串</param>
/// <returns></returns>
public static bool Referer(out string putData)
{
bool result = false;
result = CheckData(HttpContext.Current.Request.UrlReferrer.ToString(), out putData);
if (result)
{
putData = HttpContext.Current.Request.UrlReferrer.ToString();
}
return result;
}
/// <summary>
/// 正则检查
/// </summary>
/// <param name="inputData">字符串</param>
/// <param name="putData">输出非法字符串</param>
/// <returns></returns>
public static bool CheckData(string inputData, out string putData)
{
putData = string.Empty;
//if (Regex.IsMatch(inputData.ToUpper(), StrRegex.ToUpper(),RegexOptions.IgnoreCase))
if (Regex.IsMatch(inputData, StrRegex, RegexOptions.IgnoreCase))
{
putData = inputData;
return true;
}
else
{
return false;
}
}
} }
源码在通用权限底层中的位置:
调用方法:(ASP.NET MVC参考)在Global.asax文件中增加以下方法
/// <summary>
/// 在此处进行安全检测和防范
/// Application_BeginRequest
/// </summary>
/// <param name="sender"></param>
/// <param name="e"></param>
protected void Application_AcquireRequestState(object sender, EventArgs e)
{
HttpContext context = HttpContext.Current;
string putData = string.Empty;
if (Request.Cookies != null)
{
if (SecretUtil.CookieData(out putData))
{
ResponseWarnMessage(context, "Cookie数据有恶意字符!", putData);
}
}
if (Request.UrlReferrer != null)
{
if (SecretUtil.Referer(out putData))
{
ResponseWarnMessage(context, "Referrer数据有恶意字符!", putData);
}
}
if (Request.RequestType.ToUpper() == "POST")
{
if (SecretUtil.PostData(out putData))
{
ResponseWarnMessage(context, "Post数据有恶意字符!", putData);
}
}
if (Request.RequestType.ToUpper() == "GET")
{
if (SecretUtil.GetData(out putData))
{
ResponseWarnMessage(context, "Get数据有恶意字符!", putData);
}
}
}
/// <summary>
/// 非安全行为 输出警告信息
/// </summary>
/// <param name="errorMessage"></param>
/// <param name="putData"></param>
private void ResponseWarnMessage(HttpContext context, string errorMessage, string putData)
{
//记录一下恶意攻击行为
string ipAddress = Utilities.GetIPAddress(true);
BaseUserInfo userInfo = context.Session[DotNet.Business.Utilities.SessionName] as BaseUserInfo;
//非安全行为同时记录到数据库和文本文件中
LogHelper.OracleWarn(userInfo, "恶意访问行为", "来自IP:" + ipAddress + "的访问存在恶意行为:" + errorMessage + "字符内容:" + putData, " private void ResponseErrorMessage(string errorMessage, string putData)", typeof(MvcApplication), null);
RouteData routeData = new RouteData();
routeData.Values.Add("controller", "Error");
routeData.Values.Add("action", "General");
routeData.Values.Add("title", "非法访问与请求提醒");
routeData.Values.Add("error", "你提交的" + errorMessage + "字符内容:" + putData);
IController errorController = new ErrorController();
errorController.Execute(new RequestContext(new HttpContextWrapper(Context), routeData));
context.Response.End();
}
上面的处理方法可根据需要自己调整,我是将攻击信息使用系统的日志功能记录到Oracle数据库中,并在页面显示攻击信息,
测试:在地址后加入"?action=delete from user"
以上安全代码也可单独放到你的程序中使用,建议尚未做安全防护的朋友尽快加上,避免受到一些常见的攻击行为骚扰。
网站安全通用防护代码(C#版本源码提供)的更多相关文章
- spring各个版本源码
各版本源码下载地址 http://maven.springframework.org/release/org/springframework/spring/
- Spring各版本源码下载
spring framework 各版本源码下载地址 现在spring的源码下载地址真是不好找,这次终于找到了.记录一下,以帮助需要的朋友. https://github.com/spring-pro ...
- [转帖]nginx1.17.2版本源码安装
nginx1.17.2版本源码安装 原创: 沧海书生 Ansible爱好者 昨天 公众号里面的内容 这里简单测试了下 在x86的虚拟机里面编译安装 nginx 仅make make install n ...
- Kafka 0.10.1版本源码 Idea编译
Kafka 0.10.1版本源码 Idea编译 1.环境准备 Jdk 1.8 Scala 2.11.12:下载scala-2.11.12.msi并配置环境变量 Gradle 5.6.4: 下载Grad ...
- Goldeneye.py网站压力测试工具2.1版源码
Goldeneye压力测试工具的源代码,粗略看了下,代码写的蛮规范和易读的,打算边读边加上了中文注释,但是想来也没太大必要,代码600多行,值得学习的地方还是蛮多的,喜欢Python的同学可以一读 这 ...
- 《k8s-1.13版本源码分析》- Informer 机制
源码分析系列文章已经开源到github,地址如下: github:https://github.com/farmer-hutao/k8s-source-code-analysis gitbook:ht ...
- 《k8s-1.13版本源码分析》-调度优选
源码分析系列文章已经开源到github,地址如下: github:https://github.com/farmer-hutao/k8s-source-code-analysis gitbook:ht ...
- jquery的2.0.3版本源码系列(6):2880-3042行,回调对象,对函数的统一管理
目录 1 . 回调对象callbacks的演示 回调的使用有一点像事件绑定,先绑定好,等到有点击事件或者其他时就触发. <script src="js/jquery-2.0.3.js& ...
- jquery的2.0.3版本源码系列(4):285-348行,extend方法详解
目录 1 . jquery extend的基本使用 通过285行的源码 jQuery.extend = jQuery.fn.extend = function() { ,extend方法要么是直接挂在 ...
随机推荐
- Mysql视图的作用及其性能分析
定义:视图是从一个或几个基本表导出的表,它与基本表不同,是一个虚表. 作用: 1.简化操作,不用进行多表查询. 2.当不同种类的用用户共享同一个数据库时,非常灵活,(用户以不同的 方式看待同一数据. ...
- [Hive - Tutorial] Data Units 数据存储单位
Data Units In the order of granularity - Hive data is organized into: 数据库.表.分区.桶 Databases: Namespac ...
- <Chapter 2>2-1.安装SDK
开发一个应用需要的所有工具都包含在App Engine SDK中.对于Java和Python有不同的SDKs,每个都有特性对于用那种语言开发是有益的.SDKs在任何平台上工作,包括Windows,Ma ...
- C# 释放非托管资源
C#中资源分为托管资源和非托管资源. 托管资源由垃圾回收器控制如何释放,不需要程序员过多的考虑(当然也程序员也可以自己释放). 非托管资源需要自己编写代码来释放.那么编写好的释放非托管资源的代码(释非 ...
- Android 用MediaCodec实现视频硬解码(转)
本文向你讲述如何用android标准的API (MediaCodec)实现视频的硬件编解码.例程将从摄像头采集视频开始,然后进行H264编码,再解码,然后显示.我将尽量讲得简短而清晰,不展示 那些不相 ...
- 【转】浅析C语言的非局部跳转:setjmp和longjmp
转自 http://www.cnblogs.com/lienhua34/archive/2012/04/22/2464859.html C语言中有一个goto语句,其可以结合标号实现函数内部的任意跳转 ...
- Redis安装与调试
Redis安装与调试 Redis安装与调试linux版本:64位CentOS 6.5 Redis版本:2.8.17 (更新到2014年10月31日) Redis官网:http://redis.io/ ...
- Umbraco 上传文件到另一个文件夹,而不是media files
If you want to upload there media files to another place in the same instance of IIS, for example a ...
- error LNK1123: 转换到 COFF 期间失败: 文件无效或损坏的解决方案
首先,卸载相关的软件,然后删除所有和virtual studio相关的目录 然后如果还出现该问题,则: Mark一下,解决方法:将嵌入清单设置为"否" 发生场合:在用 C++写一个 ...
- poj2155 树状数组 Matrix
Matrix Time Limit: 3000MS Memory Limit: 65536K Total Submissions: 14826 Accepted: 5583 Descripti ...