探索ASP.NET MVC5系列之~~~3.视图篇(下)---包含常用表单和暴力解猜防御

其实任何资料里面的任何知识点都无所谓,都是不重要的,重要的是学习方法,自行摸索的过程(不妥之处欢迎指正)

汇总:http://www.cnblogs.com/dunitian/p/4822808.html#mvc

本章Demo:https://github.com/dunitian/LoTCodeBase/blob/master/NetCode/6.网页基础/BMVC5/MVC5Base/Controllers/FormController.cs

这几天忙着帮别人普及安全,今天就把这篇文章结束掉,明天讲下 “过度提交” 的防御。这次开篇就激烈点==》爆破演示:

打开Burp

设置监听端口==》8080

设置一下代理:

下一步

登陆失败,查看一下Request和Response

准备工具

设置要爆破的字段

载入字典,启用攻击。(Options里面可以设置线程,结果过滤之类的,可以自行设置)

开始了~专门看不同长度的,基本上都是正确的返回

看一下密码是多少===》net1

看看Response返回是否是true==》对的

登录看看==》成功进入后台!

--------------------------------------------------------------------------------------------------------- 可能有些人只对这个爆破感兴趣,那我说下怎么防御吧: 1.一般网站做法都是通过验证码,然后就有了验证码一代,二代,三代==>我推荐,”极验“(你有比较不错的也可以跟我说下,大家互助)。验证码大家都知道有破解的,比如各大打码平台,有机器识别,有人工打码等 2.更高级一点做法就是各种跳转,登录失败跳xxx页面,登录成功跳xxx页面,这样可以给攻击者增大攻击难度===》其实也没啥难度,设置一下跟着301重定向就可以了,主要是难倒小菜鸟 3.然后就是冻结多次登录的IP,当登录次数一点程度的时候,就冻结IP一段时间,这样也是增加了攻击难度===》呃,,,比上一个麻烦一点,IP更换工具网上还是有各种的 4.通用方法就是冻结用户,比如设置一个多少时间间隔内密码出错不能超过5次。爆破次数这么少基本上破不了了,但这也影响了正常用户的正常使用 5.主动攻击,这个方法是我学生时代毕业答辩的时候提出来的,除DDos外(这个反击太耗流量)的其他攻击,只要累计一定上限制,我会利用公司所有服务器资源,所有客户资源对攻击者进行DDos攻击,我一直奉信一个原则,被动挨打不如主动攻击推荐做法==》正常情况下用简单验证,比如这种的==》1+2=? ,如果出错3次左右就换你原来的复杂验证码。如果再出错3次就冻结用户吧,冻结之后为了不影响用户正常使用,可以用短信(邮箱)验证来解除冻结 如果是个人站点或者是小站点==》直接极验走起(https://github.com/GeeTeam/gt-csharp-sdk)

1.表单

开始今天的讲解,今天说下表单(个人推荐用原生的写法,如果赶时间就用微软的这种封装写法【原因无他,看下就清楚了】) 这个是爆破的返回数据: 原生:

自带:(返回的是当前视图,而且所有的验证都是直接请求服务器,呃,,,,,,不说话)

后端可以考虑这样做,前端还是老老实实的原生态走起吧(可以使用前端框架) 写个简单例子:(我也是最近才用这种方法,若有不当之处欢迎指出~)【说句良心话==》开发效率比以前高的不要不要的....】 说一下,模型注解已经特性相关的东西,下一篇会讲。那个令牌相关的你忽略就可以,后面讲跨站请求的时候会详细说,很多防御方法 定义一个模型

控制器:

视图:(你需要的表单标签基本上都有

效果:

原文发布于微信公众号 - 我为Net狂(dotNetCrazy)

原文发表时间:2016-08-05

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏网站漏洞修补

如何解决网站title被恶意反复篡改

国庆假日期间我们Sine安全接到众多网站站长求助网站标题被改导致在百度搜索中百度安全中心提醒被拦截,导致网站正常用户无法浏览网站被跳转到一些菠菜du博网站,而且...

94750
来自专栏云计算D1net

从各“瘫痪”事件看如何安全备份数据库到云存储

近几周互联网企业频繁暴出各类“瘫痪”事件,网易、支付宝也身负重伤,而5月28日携程网站服务及App全站瘫痪,从事故发生至恢复长达近12小时,造成的损失不言而喻。...

39890
来自专栏腾讯技术工程官方号的专栏

你不知道的Android SDK安全测试

image.png 作者介绍:anglia,2014年加入腾讯TEG,一直致力于信鸽和MTA两款产品的移动终端 引言 作为Android手机用户中的一枚残粉...

30850
来自专栏Seebug漏洞平台

摄像头漏洞挖掘入门教程(固件篇)

据 IT 研究与顾问咨询公司 Gartner 预测[1],2017 年全球物联网设备数量将达到 84 亿,比 2016 年的 64 亿增长31%,而全球人口数量...

41610
来自专栏北京马哥教育

Hadoop运维记录 | Zeppelin启用https和Hack内核的过程

本文是在工作过程中讲Zeppelin启用https过程和Hack内核以满足客户需求的记录。 原因是这客户很有意思,该客户中国分公司的人为了验证内网安全性,从国...

38690
来自专栏FreeBuf

“白象”APT组织近期动态

“白象”又名“Patchwork”,“摩诃草”,疑似来自南亚某国,自2012年以来持续针对中国、巴基斯坦等国进行网络攻击,长期窃取目标国家的科研、军事资料。与其...

21540
来自专栏喔家ArchiSelf

IoT固/软件更新及开源选项

物联网的迅速发展涌现了数十亿与互联网连接的无线嵌入式设备。 从医疗设备到坦克传感器, 智能恒温器, 智能路灯, 水监视器等等, 物联网比以往任何时候都应用广泛。

19520
来自专栏企鹅号快讯

bt、磁力怎么下载?老司机飙车终极思路……

百度云解析失败,迅雷也是如此?无法下载BT!5大高分下载神器,你用过几个? ——wit小学生 最近好多小伙伴们向小学生吐槽,下载的BT不是没进度就是提示敏感资源...

8.8K100
来自专栏小白安全

检测是否含有挖矿脚本的WiFi热点

前几日看到一则新闻,一家星巴克店内无线网络被发现植入了恶意代码,劫持网络流量利用用户设备挖掘门罗币(XMR)。 ? 与加密货币相关的安全事件总是引人注目...

30540
来自专栏BeJavaGod

分布式系统的那些事儿(四) - MQ时代的通信

之前在讲RPC通信的各种好处,特别好用,但是RPC并不是万能的,也并不是适用于各种场景的,因为他是同步的;现如今很多场景下的调用都是异步的,系统A调用B后,并不...

37540

扫码关注云+社区

领取腾讯云代金券