问ViewState EnableViewStateMAC
EN

Stack Overflow用户

提问于 2010-08-09 13:44:45

回答 1查看 309关注 0票数 0

如果EnableViewStateMAC设置为true，ASP.NET将为ViewState数据生成一个哈希码，并将其与存储在POST值中的哈希码进行比较。是什么阻止攻击者根据更改后的表单值设置哈希值？

发布于 2011-03-01 08:32:14

生成的散列是基于表单值和服务器(请参阅Salt on wikipedia)已知的私钥的。因此，您无法在没有salt字符串的情况下生成有效的散列。

您可以查看Mono implementation中的反序列化源代码，并参见System.Web.UI.ObjectStateFormatter，method System.Web.UI.ObjectStateFormatter()

if (EnableMac) {
    data = MachineKeySectionUtils.VerifyDecrypt (Section, data);
else {
    data = MachineKeySectionUtils.Decrypt (Section, data);
}

using (KeyedHashAlgorithm kha = GetValidationAlgorithm (section)) {
    kha.Key = GetValidationKey (section);
    // ...
}

其中GetValidationKey()返回用于签名和验证散列的盐...

票数 3

页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://stackoverflow.com/questions/3437593

复制

相似问题

问ViewState EnableViewStateMACEN