Как вы можете определить, был ли подделан viewstate в приложении ASP.Net?

Question

Во время дискуссии о безопасности разработчик из моей команды спросил, есть ли способ узнать, не было ли взломано viewstate. Мне стыдно сказать, что я не знал ответа. Я сказал ему, что узнаю, но подумал, что дам кому-нибудь здесь шанс ответить первым. Я знаю, что есть некоторая автоматическая проверка, но есть ли способ сделать это вручную, если проверка событий не включена?

Answer 1

Директива EnableViewStateMac page

Answer 2

ViewState по умолчанию кодируется MIME и хэшируется с помощью ключа MAC (либо с компьютера, либо из файла web.config), что помогает предотвратить подделку (т. Е. Расшифровка декодирования). Вы также можете зашифровать и сжать ViewState, если хотите для дополнительной защиты и меньших накладных расходов соответственно. См. MS ViewState и CodeProject.com

Answer 3

Возможно, вы сможете сделать это вручную, но вы просто внедрите тот же алгоритм, который уже существует для вас. Обычно плохая идея отключать проверку ViewState на странице.