【第三篇】ASP.NET MVC快速入门之安全策略(MVC5+EF6)

2016-12-28 19:21:45来源:作者:人点击

第七城市

目录

【第一篇】ASP.NET MVC快速入门之数据库操作(MVC5+EF6)

【第二篇】ASP.NET MVC快速入门之数据注解(MVC5+EF6)

【第三篇】ASP.NET MVC快速入门之安全策略(MVC5+EF6)

【第四篇】ASP.NET MVC快速入门之完整示例(MVC5+EF6)



请关注三石的博客:http://cnblogs.com/sanshi



表单身份验证(Forms Authentication)

WebForms中的表单身份验证

在讲解MVC提供的安全策略之前,还是先看下WebForms中常见的表单身份验证(Forms Authentication),这种身份验证的过程也很简单:

1. 用户提供登录信息(比如用户名和密码)。

2. 登录信息验证通过后,会创建一个包含用户名的FormsAuthenticationTicket对象。

3. 对此Ticket对象进行加密,并将加密结果以字符串的形式保存到浏览器Cookie中。



后会的所有HTTP请求,都会带上这个Cookie并由WebForms进行比对,同时对外公开如下两个属性:

1. HttpContext.User.Identity.IsAuthenticated

2. HttpContext.User.Identity.Name



在Web.config中,我们一般需要配置登录页面(loginUrl)、登录后的跳转页面(defaultUrl),

登录后的保持时间(timeout)等信息:

<system.web><authentication mode="Forms"><forms loginUrl="~/default.aspx" timeout="120"defaultUrl="~/main.aspx" protection="All" path="/" /></authentication><authorization><deny users="?" /></authorization></system.web>




上面这个配置拒绝了所有用户的匿名访问,当然我们在<system.web>节的外面更改指定目录的访问权限,比如:

<location path="res"> <system.web> <authorization>  <allow users="*" /> </authorization> </system.web></location>




这个配置允许匿名用户对res目录的访问(一般是静态资源)。



MVC中的表单身份验证

MVC对验证模型进行了重写,但是基本的原理没有变化,我们更关注的是不同点:

1. WebForms中基于目录进行权限控制。

2. MVC中对控制器或者控制器的方法进行权限控制。



理解这一点也不难,因为MVC中没有和物理目录对应的URL,并且同一个控制器方法可能会对应多个访问URL,这一过程是由路由引擎配置的,在第一篇文章中有简单介绍。



Authorize注解

在MVC中,我们要保护的资源不是文件夹目录,而是控制器和控制器方法,所以MVC提供了授权过滤器(Authorize Filter)对此进行保护,它是以数据注解的形式提供的。

[Authorize]public class StudentsController : Controller{ ...}




这里是对整个控制器进行了保护,防止匿名用户访问,这时访问会得到一个错误的页面:





配置表单身份验证

现在添加配置信息:

<system.web><authentication mode="Forms">  <forms loginUrl="~/Home/Login" defaultUrl="~/Students" timeout="120" protection="All" path="/" /></authentication></system.web>






指定了登录页面~/Home/Login,登录后的页面是~/Students,现在再来浏览页面:
http://localhost:55654/Students







这次访问有两个HTTP请求,并且浏览器地址栏的URL改变了:
http://localhost:55654/Home/Login?ReturnUrl=%2fStudents


这样的地方我们很熟悉,ReturnUrl参数指定了登录成功后需要调整的页面,而~/Home/Login则是我们刚刚在Web.config中配置的登录页面。



两个HTTP请求中的第一个,响应码是302,这是一个重定向响应,浏览器会自动识别302响应并跳转到响应头中Location指定的网址。所以第二个请求是由浏览器发起的,但是我们尚未定义Login页面,所以返回404未找到。



创建登录页面

定义Home/Login控制器方法:

public class HomeController : Controller{ public ActionResult Login() {  return View(); }}






在操作方法内部点击右键,选择[添加视图…]菜单项:





在弹出的向导对话框中,选择[Empty(without Model)],我们来手工创建视图内容:





完成的视图页面:

@{ ViewBag.Title = "Login";}<h2>Login</h2>@using (Html.BeginForm()){ @Html.AntiForgeryToken() <input type="text" name="UserName" /> <input type="password" name="Password" /> <input type="submit" value="登录" />}






点击[登录]按钮,表单会通过POST请求提交到Login方法:

[HttpPost][ValidateAntiForgeryToken]public ActionResult Login(string UserName, string Password){ if(UserName == "sanshi" && Password == "pass") {  FormsAuthentication.RedirectFromLoginPage("sanshi", false); } return View();}






这里硬编码了管理员的用户名和密码,在实际应用中可能需要从数据库中读取。



在布局中显示登录状态

接下来,我们需要在布局页面(Shared/_Layout.cshtml)中放置登录后的信息以及[退出系统]按钮:

@if (User.Identity.IsAuthenticated){ using (Html.BeginForm("Logout", "Home", FormMethod.Post, new { id = "logoutForm" })) {  @Html.AntiForgeryToken()  <ul class="nav navbar-nav navbar-right"> <li><a href="javascript:;">Hello, @User.Identity.Name</a></li> <li><a href="javascript:;" id="logout">退出系统</a></li>  </ul> }}else{ <ul class="nav navbar-nav navbar-right">  <li>@Html.ActionLink("登录", "Login", "Home")</li> </ul>}




这段代码有两层逻辑:

1. 如果用户已经验证过身份,则显示一个表单,里面放置[Hello, sanshi]以及一个登录按钮。受限于Bootstrap的内置样式,这里只能通过a标签来取代input标签,在页面底部还会注册脚本来处理按钮点击事件。

2. 如果是匿名用户,则显示[登录]的超链接。



实现[退出系统]功能

注册[退出系统]按钮的客户端处理脚本,由于在生成表单标签时(Html.BeginForm),我们设置了表单标签的id属性,所以点击[退出系统]按钮时简单提交表单即可:

<script> $(function () {  $('#logout').click(function () { $('#logoutForm').submit();  }); });</script>






[退出系统]按钮的后台逻辑,需要先清空客户端Cookie,然后执行客户端跳转:

[HttpPost][ValidateAntiForgeryToken]public ActionResult Logout(){ FormsAuthentication.SignOut(); return RedirectToAction("Index", "Home");}




运行效果

来看下页面运行效果,首先是登录页面:



登录成功后,直接跳转到~/Students页面:





跨站请求伪造(CSRF)

在前面的HTTP POST请求中,我们多次在View和Controller中看下如下代码:

1. View中调用了Html.AntiForgeryToken()。

2. Controller中的方法添加了[ValidateAntiForgeryToken]注解。



这样看似一对的写法其实是为了避免引入跨站请求伪造(CSRF)攻击。



这种攻击形式大概在2001年才为人们所认知,2006年美国在线影片租赁网站Netflix爆出多个CSRF漏洞,2008年流行的视频网址YouTube受到CSRF攻击,同年墨西哥一家银行客户受到CSRF攻击,杀毒厂商McAfee也曾爆出CSRF攻击(引自wikipedia)。



之所以很多大型网址也遭遇CSRF攻击,是因为CSRF攻击本身的流程就比较长,很多开发人员可能在几年的时间都没遇到CSRF攻击,因此对CSRF的认知比较模糊,没有引起足够的重视。



CSRF攻击的模拟示例

我们这里将通过一个模拟的示例,讲解CSRF的攻击原理,然后再回过头来看下MVC提供的安全策略。



看似安全的银行转账页面

假设我们是银行的Web开发人员,现在需要编写一个转账页面,客户登录后在此输入对方的账号和转出的金额,即可实现转账:



[Authorize]public ActionResult TransferMoney(){ return View();}[HttpPost][Authorize]public ActionResult TransferMoney(string ToAccount, int Money){ // 这里放置转账业务代码 ViewBag.ToAccount = ToAccount; ViewBag.Money = Money; return View();}






由于这个过程需要身份验证,所以我们为TransferMoney的两个操作方法都加上了注解[Authorize],以阻止匿名用户的访问。



如果直接访问http://localhost:55654/Home/TransferMoney,会跳转到登录页面:





登录后,来到转账页面,我们看下转账的视图代码:

@{ ViewBag.Title = "Transfer Money";} <h2>Transfer Money</h2> @if (ViewBag.ToAccount == null){ using (Html.BeginForm()) {<input type="text" name="ToAccount" /><input type="text" name="Money" /><input type="submit" value="转账" /> }}else{ @:您已经向账号 [@ViewBag.ToAccount] 转入 [@ViewBag.Money] 元!}






视图代码中有一个逻辑判断,根据ViewBag.ToAccount是否为空来显示不同内容:

1. ViewBag.ToAccount为空,则表明是页面访问。

2. ViewBag.ToAccount不为空,则为转账成功,需要显示转账成功的提示信息。



来看下页面运行效果:







功能完成!看起来没有任何问题,但是这里却又一个CSRF漏洞,隐蔽而难于发现。



我是黑客,Show me the money

这里就有两个角色,银行的某个客户A,黑客B。



黑客B发现了银行的这个漏洞,就写了两个简单的页面,页面一(click_me_please.html):

<!DOCTYPE html><html><head> <meta http-equiv="Content-Type" content="text/html;charset=utf-8" /></head><body> 哈哈,逗你玩的! <iframe frameborder="0"style="display:none;" src="./click_me_please_iframe.html"></iframe> </body></html>






第一个页面仅包含了一个隐藏的iframe标签,指向第二个页面(click_me_please_iframe.html):

<!DOCTYPE html><html><head> <meta http-equiv="Content-Type" content="text/html;charset=utf-8" /></head><body onload="document.getElementById('myform1').submit();">  <form method="POST" id="myform1"action="http://localhost:55654/Home/TransferMoney">  <input type="hidden" name="ToAccount" value="999999999">  <input type="hidden" name="Money" value="3000"> </form> </body></html>






第二个页面放置了一个form标签,并在里面放置了黑客自己的银行账号和转账金额,在页面打开时提交表单(body的onload属性)。



现在黑客把这两个页面放到公网:
http://fineui.com/demo_mvc/csrf/click_me_please.html


然后批量向用户发送带有攻击链接的邮件,而银行的客户A刚好登录了银行系统,并且手贱点击了这个链接:





然后你将看到这个页面:





你可能会在心里想,谁这么无聊,然后郁闷的关闭了这个页面。之后客户A会更加郁闷,因为黑客B的银行账号[999999999]已经成功多了3000块钱!



到底怎么转账的,不是有身份验证吗

是的。转账的确是需要身份验证,现在的问题是你登录了银行系统,已经完成了身份验证,并且在浏览器新的Tab中打开了黑客的链接,我们来看下到底发生了什么:





这里有三个HTTP请求,第一个就是[逗你玩]页面,第二个是里面的IFrame页面,第三个是IFrame加载完毕后发起的POST请求,也就是具体的转账页面。因为IFrame是隐藏的,所以用户并不知道发生了什么。



我们来具体看下第三个请求:





明显这次转账是成功的,并且Cookie中带上了用户身份验证信息,所有后台根本不知道这次请求是来自黑客的页面,转账成功的返回内容:





如何阻止CSRF攻击

从上面的实例我们可以看出,CSRF源于表单身份验证的实现机制。



由于HTTP本身是无状态的,也就是说每一次请求对于Web服务器来说都是全新的,服务器不知道之前请求的任何状态,而身份验证需要我们在第二次访问时知道是否登录的状态(不可能每次请求都验证账号密码),这本身就是一种矛盾!



解决这个矛盾的办法就是Cookie,Cookie可以在浏览器中保存少量信息,所以Forms Authentication就用Cookie来保存加密过的身份信息。而Cookie中保存的全部值在每次HTTP请求中(不管是GET还是POST,也不管是静态资源还是动态资源)都会被发送到服务器,这也就给CSRF以可乘之机。



所以,CSRF的根源在于服务器可以从Cookie中获知身份验证信息,而无法得知本次HTTP请求是否真的是用户发起的。



Referer验证

Referer是HTTP请求头信息中的一部分,每当浏览器向服务器发送请求时,都会附带上Referer信息,表明当前发起请求的页面地址。



一个正常的转账请求,我们可以看到Referer和浏览器地址栏是一致的:





我们再来看下刚才的黑客页面:





可以看到Referer的内容和当前发起请求的页面地址一样,注意对比:

1. 浏览器网址:click_me_please.html

2. HTTP请求地址:Home/TransferMoney

3. Referer:click_me_please_iframe.html,注意这个是发起请求的页面,而不一定就是浏览器地址栏显示的网址。



基于这个原理,我们可以简单的对转账的POST请求进行Referer验证:

[HttpPost][Authorize]public ActionResult TransferMoney(string ToAccount, int Money){ if(Request.Url.Host != Request.UrlReferrer.Host) {  throw new Exception("Referrer validate fail!"); }// 这里放置转账业务代码ViewBag.ToAccount = ToAccount; ViewBag.Money = Money; return View();}






此时访问http://fineui.com/demo_mvc/csrf/click_me_please.html,恶意转账失败:





MVC默认支持的CSRF验证

MVC默认提供的CSRF验证方式更加彻底,它通过验证当前请求是否真的来自用户的操作。



在视图页面,表单内部增加对Html.AntiForgeryToken函数的调用:

@if (ViewBag.ToAccount == null){ using (Html.BeginForm()) {@Html.AntiForgeryToken()<input type="text" name="ToAccount" /><input type="text" name="Money" /><input type="submit" value="转账" /> }}else{ @:您已经向账号 [@ViewBag.ToAccount] 转入 [@ViewBag.Money] 元!}






这会在表单标签里面和Cookie中分别生成一个名为__RequestVerificationToken 的Token:







然后添加[ValidateAntiForgeryToken]注解到控制器方法中:

[HttpPost][Authorize][ValidateAntiForgeryToken]public ActionResult TransferMoney(string ToAccount, int Money){ // 这里放置转账业务代码 ViewBag.ToAccount = ToAccount; ViewBag.Money = Money; return View();}






在服务器端,会验证这两个Token是否一致(不是相等),如果不一致就会报错。



下面手工修改表单中这个隐藏字段的值,来看下错误提示:





类似的道理,运行黑客页面http://fineui.com/demo_mvc/csrf/click_me_please.html,恶意转账失败:





此时,虽然Cookie中的__RequestVerificationToken提交到了后台,但是黑客无法得知表单字段中的__RequestVerificationToken值,所以转账失败。



过多提交攻击(Over-Posting)

在编辑Student的控制器方法中,有一个Bind特性注解,我们来回顾一下:

[HttpPost][ValidateAntiForgeryToken]public ActionResult Edit([Bind(Include = "ID,Name,Gender,Major,EntranceDate")] Student student){ if (ModelState.IsValid) {  db.Entry(student).State = EntityState.Modified;  db.SaveChanges();  return RedirectToAction("Index"); } return View(student);}






这是为了防止Over-Posting攻击,这个理解起来相对简单一点,Bind特性的Include属性用来指定一个白名单,所有在白名单中的属性都会参与模型绑定。



假设在Student模型中增加一个[职务]的字段:

public string Job {get; set;}






如果没有Bind特性,那么在更新Student信息时,恶意用户可以通过模拟POST请求(第二篇文章有介绍)来提交Job的值,从而导致数据库中用户的Job改变。而Bind特性就是为了避免这种情况的发生。



Bind特性还提供了黑名单的设置方式,类似如下所示:

[Bind(Exclude = "Job")]






但是,一般我们推荐使用白名单,这样即使模型发生改变,也不会影响到现有的功能。



小结

本篇文章首先介绍了MVC下Forms Authentication的实现方式以及与WebForms下表单身份验证的区别。然后重点讲解了跨站请求伪造攻击(CSRF),由于这种攻击流程比较长,理解起来比较晦涩,我们特地制作了一个攻击案例,希望能够引起开发人员的重视。Over-Posting攻击相对比较简单,但是需要我们在实际编码中严格遵守安全指引,不能存在侥幸心里。当然还有其他类型的攻击,比如跨站脚本攻击(XSS),Cookie盗取,开放重定向攻击等等,限于篇幅原因就不一一介绍。

从下一篇文章开始,我们将逐渐丰富示例的功能,先为表格页面增加一个搜索表单,可以根据不同的查询条件显示表格数据。

下载示例源代码



你要觉得本篇文章对你有所帮助,请辛苦给个推荐,谢谢!
第七城市

最新文章

123

最新摄影

微信扫一扫

第七城市微信公众平台