| Server Error in '/YourApplicationPath' Application A potentially dangerous Request.Form value was detected from the client (txtName="<b>"). Description: Request Validation has detected a potentially dangerous client input value, and processing of the request has been aborted. This value may indicate an attempt to compromise the security of your application, such as a cross-site scripting attack. You can disable request validation by setting validateRequest=false in the Page directive or in the configuration section. However, it is strongly recommended that your application explicitly check all inputs in this case. Exception Details: System.Web.HttpRequestValidationException: A potentially dangerous Request.Form value was detected from the client (txtName="<b>"). .... |
根据提示,"请求验证过程检测到有潜在危险的客户端输入值，对请求的处理已经中止。该值可能指示危及应用程序安全的尝试，如跨站点的脚本攻击"。通过在 Page 指令或 配置节中设置 validateRequest=false 可以禁用请求验证。但是，在这种情况下，强烈建议应用程序显式检查所有输入。
解决方法有三个:
方法1. 在.aspx页面中添加：
<%@ Page validateRequest="false" %>
方法2. 修改Web.Config文件：
<configuration>
<system.web>
<pages validateRequest="false" />
</system.web>
</configuration>
方法3.
在页面的Code-behind页面中加入这么一段代码：
protected void Page_Error(object sender, EventArgs e)
{
Exception ex = Server.GetLastError(); if (ex is HttpRequestValidationException)
{
Response.Write("请您输入合法字符串。"); Server.ClearError(); // 如果不ClearError()这个异常会继续传到Application_Error()。
}
}这样这个程序就可以截获 HttpRequestValidationException 异常，而且可以按照程序员的意愿返回一个合理的报错信息
问题是这样可以解决了,但网页的安全性解决了吗?那一种解决方法好一些呢?我们可以一起
ASP.Net 1.1后引入了对提交表单自动检查是否存在XSS（跨站脚本攻击）的能力。当用户试图用<xxxx>之类的输入影响页面返回结果的时候，ASP.Net的引擎会引发一个 HttpRequestValidationExceptioin。默认情况下会返回上面那个错误的页面：
这是ASP.Net提供的一个很重要的安全特性。因为很多程序员对安全没有概念，甚至都不知道XSS这种攻击的存在，知道主动去防护的就更少了。ASP.Net在这一点上做到默认安全。这样让对安全不是很了解的程序员依旧可以写出有一定安全防护能力的网站。
为什么很多程序员想要禁止 validateRequest 呢？有一部分是真的需要用户输入"<>"之类的字符。这就不必说了。还有一部分其实并不是用户允许输入那些容易引起XSS的字符，而是讨厌这种报错的形式，毕竟一大段英文加上一个ASP.Net典型异常错误信息，显得这个站点出错了，而不是用户输入了非法的字符，可是自己又不知道怎么不让它报错，自己来处理报错。
而对于那些通过 明确禁止了这个特性的程序员，自己一定要明白自己在做什么，而且一定要自己手动的检查必须过滤的字符串，否则你的站点很容易引发跨站脚本攻击。
关于存在Rich Text Editor的页面应该如何处理？
如果页面有富文本编辑器的控件的，那么必然会导致有<xxx>类的HTML标签提交回来。在这种情况下，我们不得不将validateRequest="false"。那么安全性怎么处理？如何在这种情况下最大限度的预防跨站脚本攻击呢？
根据微软的建议，我们应该采取安全上称为“默认禁止，显式允许”的策略。
首先，我们将输入字符串用 HttpUtility.HtmlEncode()来编码，将其中的HTML标签彻底禁止。
然后，我们再对我们所感兴趣的、并且是安全标签，通过Replace()进行替换。比如，我们希望有"<b>"标签，那么我们就将"<b>"显式的替换回"<b>"。
示例代码如下：
void submitBtn_Click(object sender, EventArgs e) { // 将输入字符串编码，这样所有的HTML标签都失效了。 StringBuilder sb = new StringBuilder( HttpUtility.HtmlEncode(htmlInputTxt.Text)); // 然后我们选择性的允许<b> 和 <i> sb.Replace("<b>", "<b>"); sb.Replace("</b>", ""); sb.Replace("<i>", "<i>"); sb.Replace("</i>", ""); Response.Write(sb.ToString()); }
这样我们即允许了部分HTML标签，又禁止了危险的标签。
根据微软提供的建议，我们要慎重允许下列HTML标签，因为这些HTML标签都是有可能导致跨站脚本攻击的。
- <applet>
- <body>
- <embed>
- <frame>
- <script>
- <frameset>
- <html>
- <iframe>
- <img>
- <style>
- <layer>
- <link>
- <ilayer>
- <meta>
- <object>
可能这里最让人不能理解的是<img>。但是，看过下列代码后，就应该明白其危险性了。
<img src="javascript:alert('hello');"><img src="java script:alert('hello');"><img src="java script:alert('hello');">
通过<img>标签是有可能导致Javascript执行的，这样攻击者就可以做他想伪装的任何事情。
关于<style>也是一样：
<style TYPE="text/javascript"> alert('hello');</style>
E8.Net工作流架构大量节约用户的开发成本为企业应用开发提供起点，提升软件生产力，欢迎访问：http://www.feifanit.com.cn/productFlow.htm
E8.Net工作流平台 提升企业战略执行力
ITIL与ITSM QQ4号群:1260249
.NET企业应用开发与工作流QQ 4号群:41553575
http://www.feifanit.com.cn/
