chat.mysite.com/WebResource.axd?d=jzjghMVYzFihd9Uhe_arpA2 を開くと、パディングが無効であり、削除できません。
chat.mysite.com/WebResource.axd?d=acunetix を開くと、無効なビューステートが表示されます。
chat.mysite.com/WebResource.axd?d= を開くと、リソースが見つかりません。
ただし、これらの /WebResource.axd のいずれかをメイン サイト www.mysite.com で開くと、エラーは発生しません....
私の質問、私のサイトはオラクルのパディングに対して脆弱ですか? はいの場合、どのデータが盗まれる可能性がありますか? もう 1 つのことは、www.mysite.com の「ソースの表示」を開くと、script=webresource.axd などのようなものがないことです....攻撃者が制御したい場合、私は混乱していますサイト、彼は何ができますか? 彼はどのように攻撃を実行しますか？攻撃者は管理者権限にアクセスできますか?
提供されたわずかな情報で、これはオラクルのパディングに対して脆弱である可能性が高いと言えます。パディングオラクルを使用して暗号文を復号化できます。メッセージの最後から一度に 1 バイトずつ逆方向に処理します。
すべての暗号文は MAC で保護する必要があります。
質問へのコメントに基づいて回答します。
はい、現在、パディング オラクル攻撃に対して脆弱です。
これは、構成ファイルなどをダウンロードし、viewstate や Cookie を復号化できることを意味します。
「管理者権限」へのアクセスに関しては、たぶん。何が見つかるかによります。たとえば、web.config ファイルにデータベース接続文字列があり、そのデータベース サーバーにインターネットからアクセスできる場合、攻撃者はアプリを完全にバイパスして、データベースに直接アクセスする可能性があります。ここには確かに、web.config 情報の公開による損害を制限する可能性のある多くの要因がありますが、残念ながら多くの開発者は自分が何をしているのかを知りません。彼らはこれについて考えない傾向があります。
それで、これについて何ができますか？
まず、パッチを適用してサーバーを最新の状態に保ちます。Windows には、自動更新によってこれを自動化する方法があります。Webサーバーにはこれを強くお勧めします。MS はかなり迅速にパッチを適用する傾向があります。さらに、10 年以上にわたって Windows サーバーにパッチを適用してきましたが、問題に遭遇したことはありません。DBパッチもそう言えばいいのですが、それもやらないといけないことになりつつあります。
次に、アプリケーション自体を見てください。web.config に、データの侵害につながる可能性のあるものはありますか? データベースサーバーへの参照、他のシステムへのパスワードなどです。そうであれば、パッチを適用した直後にそれらのパスワードをすべて変更することをお勧めします。DB アクセスについては、アプリケーションでさえテーブルをクエリする直接的な権限を持たないようにする傾向があります。しかし、それは完全に別の議論です。
第三に、何も信用しない傾向を発達させます。独自のサーバーでも、独自のコードでもありません。とにかく、これはより良いプログラマーになることにつながります。攻撃者が Web サイトに実行可能ファイルをドロップできる場合、Web アプリがアクセスできる文字通りすべてのものにアクセスできる可能性があります。
第 4 に、必要なものだけをインターネットに公開します。これには、ルーター/ファイアウォール/その他が適切に構成されていることを確認するために、多くの教育とテストが必要です。残念ながら、開発者は不便になるとすぐにこれらの防御を下げる傾向があります。たとえば、デバッグ ツールをサーバーにインストールしたり、自宅からデータベースにアクセスするためにデータベースをインターネットに公開したりします。これは、上記の #3 と同様です。
第五に、研究研究研究。時間をかけて、物事がどのように侵害され、それが何を意味するかを学びましょう。何を保護し、何に対して保護しているかを知っていれば、防御的にコーディングする方がはるかに簡単です。そこには膨大な量の悪い情報があり、攻撃がどのように機能するかを知ることで、それを簡単に除外することができます. 簡単な例は、SQL ステートメントを動的に構築する方法を示すサイトです。それらの大部分はパラメーターを使用しません。また、Web アプリケーション自体がバイパスされる可能性があるという考えを完全に無視するものもあります。
もっと、もっとたくさんありますが、今のところ噛むにはそれで十分です.