Образец текста, который сделает недействительным ввод текста ASP.NET?

Question

Мне нужно проверить некоторые элементы управления проверкой, но я не уверен, какой тип текста ASP.NET сочтет проблемой безопасности. Может кто-нибудь дать мне кое-что попробовать? Я пробовал различные HTML-тэги, и они, кажется, хорошо их принимали. Это многострочное текстовое поле, используемое для сохранения поля текста в базе данных. Код для сохранения находится внутри If Me.IsValid без указания ELSE, но после вызова функции сохранения он переходит к отображению «сохраненного» сообщения и перенаправлению страницы. Некоторые пользователи теряют работу, поэтому я думаю, что проблема в том, что Me.IsValid имеет значение false, поэтому функция сохранения вызывается, но ничего не делает ... В любом случае, с чем я могу попытаться сделать это недействительным? Обратите внимание, что я не написал код для этого, я просто устраняю неполадки.

Answer 1

Похоже, вы путаете элементы управления Validator с ValidateRequest, внутренним механизмом ASP.Net для очистки запросов.

Проверка валидатора полностью зависит от ваших валидаторов. Вы используете RequiredFieldValidator? Тогда неверные вводы - это просто пустые текстовые поля. Это RegularExpressionValidator? Затем вам нужно ввести что-то, что не соответствует регулярному выражению. CustomValidator? Затем вам нужно проверить логику проверки.

Для меня это больше похоже на то, что вы беспокоитесь о том, что входные данные очищаются для выполнения запросов к базе данных. Первое, что нужно проверить, это то, что в вашей директиве Page ValidateRequest не установлено значение «false». Если это так, это объясняет, почему HTML пропускают.

Вы также должны проверить следующее:

Как: защитить от сценариев в веб-приложении, применяя кодировку HTML к строкам

Проверка ввода пользователя на веб-страницах ASP.NET

Тогда, если вы хотите попробовать атаку с внедрением базы данных, просто найдите в Google базовый учебник по внедрению SQL.

Answer 2

Попробуйте некоторые ASCII-коды для пробелов, возврата каретки и т. Д.

Поскольку вы сохраняете в базу данных, попробуйте и SQL-инъекцию.

Answer 3

javascript:alert('rrrrrooooaaaarrrrr');

Хорошее начало.