ASP: Các nguyên tắc bảo mật khi triển khai các ứng dụng Web : 1. An toàn trước khả năng bị tấn công CSS (Cross-Site Scripting) Kiểu tấn công CSS điển hình nhất xảy ra khi tin tặc cố tình chèn một đoạn văn bản có chứa script độc hại vào các form nhập dữ liệu. | ASP Các nguyên tắc bảo mật khi triển khai các ứng dụng Web 1. An toàn trước khả năng bị tấn công CSS Cross-Site Scripting Kiểu tấn công CSS điển hình nhất xảy ra khi tin tặc cố tình chèn một đoạn văn bản có chứa script độc hại vào các form nhập dữ liệu. Nội dung nhập vào có thể chứa các thẻ OBJECT hoặc SCRIPT cùng các đoạn mã hết sức nguy hiểm. Trình duyệt khi truy nhập site cho rằng các srcipt này do máy chủ gửi tới hoàn toàn vô hại nên sẽ chạy nó ở cấp độ bảo mật bình thường gây ra hậu quả tai hại cho máy tính của người sử dụng . Để bảo vệ khỏi bị tấn công theo kiểu CSS cần chú ý ít nhất những điểm sau - Cập nhật thường xuyên các bản sửa lỗi bảo mật mới nhất của IIS và Windows. - Lọc các ký tự đặc biệt do người sử dụng nhập vào như - - Lọc để loại bỏ các ký tự đặc biệt kết xuất trên cơ sở thông tin nhập vào của người sử dụng. Xem kỹ các dữ liệu từ - Collection - Connection - Request Object - Database - Cookie - Các biến Session và Application Để có thể lọc được cần xác định cụ thể lược đồ mã hoá ký tự trên các trang Web trong thẻ META ở phần header. Ví dụ head META http-equiv Content-Type Content text html charset ISO-8859-1 head 2. Ứng dụng có thể không cần sử dụng các cookie thường trực Cookie thường trực là những tệp được các ứng dụng Web gửi tới máy tính người sử dụng và vẫn tồn tại trên ổ cứng của máy tính ngay cả khi họ không còn duyệt site. Chúng lưu một số thông tin về người sử dụng để các ứng dụng Web tuỳ biến nội dung cho phù hợp với từng đối tượng người sử dụng hoặc cho phép họ bỏ qua giai đoạn đăng ký đăng nhập. Các cookie không thường trực được lưu trong bộ nhớ máy tính của người sử dụng và chỉ tồn tại trong thời gian người sử dụng duyệt site. IIS dựa vào các cookie không thường trực để xác định một phiên ASP. Không có nó IIS không thể duy trì bất kỳ các thông tin về phiên làm việc chẳng hạn như các biến phiên. Nếu site của bạn sử dụng cookie thường trực không nên yêu cầu IIS lưu trữ chúng trong tệp log của IIS. Nếu .
