zabezpieczenia aplikacji webowej asp

[arqs_mixer]

czy może mi ktoś wskazać metody i ewentualnie techniki oraz narzędzia zabezpieczenia aplikacji webowej ASP Z góry bardzo dziękuję za odpowiedź!

[Kamlo]

W praktyce wiele nie pomogę, bo mało na ten temat wiem ale linki mogą sie przydać:

http://download.microsoft.com/downlo...%20ASP.NET.ppt
http://technet2.microsoft.com/Window....mspx?mfr=true
http://technet2.microsoft.com/Window....mspx?mfr=true
http://www.wss.pl/Articles/103.aspx

Pozdrawiam.

[TQM]

Co do ASP niewiele powiem bo nie pisze w ASP ani nie uzywam serwerow dzialajacych pod Windows :-) wiec za wiele nie pomoge... moge za to wrzucic garsc pomyslow ogolnych - rzeczy o ktorych czesto sie zapomina piszac aplikacje webowe...

- nie ufaj wejsciu / danym od klienta - chodzi glownie o formulaze (rozwine dalej) ale rowniez o wszelkie inne parametry przekazywane w polach hidden, url'ach itd... piekielnie latwo mozna je podmieniac w locie wiec trzeba zawsze sprawdzac ich kontekst
- aplikacja powinna dzialac z najmniejszymi uprawnieniami jakie sa jej potrzebne... jesli jednak jakis pojedynczy element potrzebuje wiecej, odpal tylko ten element jako zewnetrzny z wiekszymi uprawnieniami skoro na prawde jest taka potrzeba
- ukrywaj bledy - jesli nastapi blad aplikacji, np blad podlaczania do bazy to nie pokazuj tego ze jest blad np taki a taki... wyswietl informacje ze trwaja prace techniczne i zaloguj dla siebie co sie stalo... inaczej dajesz atakujacemu albo pelne informacje o tym na czym pracujesz i gdzie powstal albo gdzie udalo mu sie wywolac blad... najlepiej powiedziec ze 'zubr wystepuje w puszczy' i tyle...
- uzywaj bindowania parametrow SQL w zapytaniach (znak ?) - inaczej dosc szybko trafisz w sytuacje w ktorej bedziesz mial system podatny na SQL injection :-) separacja uprawnien w bazie tez jest warta uwagi

Odnosnie fomulazy i innych takich - pamietaj o dereferencjach dla znakow UTF i kodowania znakow URL Encoded - jedna dereferencja to za malo... ile ma ich byc - tyle ile trzeba (zalatwi to prosta petla)... czy cos jeszcze?! na razie chyba tyle...

[arqs_mixer]

dzięki - zawsze coś