Можно ли изменить поле EVENTVALIDATION? - PullRequest
3 голосов
/ 29 марта 2011

Можно ли декодировать и, таким образом, подделать визуализированное поле _EVENTVALIDATION? Я нашел много информации о том, что она ДЕЛАЕТ, но не смог найти ничего, что действительно говорит о том, защищено ли само значение от взлома. Я попытался декодировать его с помощью base64 и вернул бред, поэтому я предполагаю, что он на самом деле зашифрован, но если кто-то точно знает и может это проверить, это было бы здорово.

Я знаю, что Viewstate не зашифрован (хотя вы можете установить его). Меня это не так интересует, я просто интересуюсь подтверждением событий.

Я нашел похожий вопрос: Можно ли декодировать EventValidation и ViewState в ASP.NET?, но, похоже, никто не дал конкретного ответа относительно поля проверки события.

Конкретный пример: у меня есть выпадающий список доступных отчетов, которые может запустить пользователь. Он заполняется некоторыми отчетами «участников», а также отчетами «Только для администратора», которые отображаются во время загрузки OnLoad, и добавляет их, только если пользователь является администратором. Когда страница отправляется обратно, могу ли я доверять процедуре проверки событий, чтобы она была безопасной и чтобы пользователь не вставлял отчет «только для администратора» в список допустимых значений, или я должен повторно проверить разрешения в своем обработчике обратной передачи, чтобы проверить пользователь может использовать выбранный отчет?

Ответы [ 2 ]

5 голосов
/ 29 марта 2011

Во-первых, проверка событий является защитой от XSRF, а не от злонамеренных пользователей.

Если вы хотите убедиться, что они могут запускать только те отчеты, которые им разрешено запускать, то проверьте, разрешено ли им запускать отчет в точке, в которой вы его запускаете.

Во-вторых, данные проверки события зашифрованы и имеют MAC.Это должно быть очень трудно подделать.Но полагаться на это - не верный способ решить вашу проблему.

0 голосов
/ 29 марта 2011

Если вы не отключили собственные настройки защиты от впрыска, то, если кто-то попытается отредактировать список значений элементов управления и опубликовать его, это вызовет ошибку.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...