ASP.net XSS 请求验证未触发

Question

我的 ASP.net 应用程序有一个小问题 - XSS 请求验证（即抛出“潜在危险的 request.form 值...”异常的验证）似乎无法正常工作。

我的网站中有以下简单的测试表单：

<%@ Page Language="VB" AutoEventWireup="false" CodeFile="Test2.aspx.vb" 
      Inherits="Test2" %>

<form id="form1" runat="server">

    <asp:textbox ID="Textbox1" runat="server" ></asp:textbox>

    <asp:Button ID="btnSubmit" runat="server" Text="Uh oh" />

</form>

以及 httpRuntime 元素的 web.config 中的以下内容：

<httpRuntime maxRequestLength="8192" />

如果我在文本框中输入以下文本：

<script>alert('XSS!');</script>

表单发布时没有错误，但我希望它会出错，抱怨“潜在危险……等等”。我为按钮添加了一个单击事件处理程序并调用 Request.ValidateInputs() ，但仍然没有问题。观察 Request 变量，我可以看到一个属性调用 ValidateInputCalled，即使在我显式调用之前也是如此...

我们的目标是框架的 v4.0，我发现如果我像这样编辑 httpRuntime 元素：

<httpRuntime maxRequestLength="8192" requestValidationMode="2.0" />

那么页面请求验证开始像我预期的那样工作（但我认为这不是必要的）。像这样的配置中唯一的另一件事是一组规则，如下所示：

<location path="Admin/News.aspx">
     <system.web>
       <httpRuntime requestValidationMode="2.0"/>
     </system.web>
 </location>

我们使用它来允许我们关闭对一组选定页面的验证（在页面级别关闭），其中允许用户提交文本中的一组选定的 HTML 标记。

这以前肯定是有效的。有谁知道为什么这现在可能不起作用？我不想将整个站点恢复到 v2.0 请求验证模式。

---

刚刚尝试了一个新的网站项目，单页，与上面相同，并且触发了请求验证错误。我们原始站点的 web.config 非常大 - 有谁知道该文件中可能影响请求验证的其他属性吗？配置文件中的页面节点如下所示：

<pages enableEventValidation="false" enableSessionState="true" 
     enableViewStateMac="true"
     viewStateEncryptionMode="Always" 
     controlRenderingCompatibilityVersion="3.5" 
     clientIDMode="AutoID">

Answer 1

我也遇到了同样的问题，但就我而言，这是 global.asax 的 Application_BeginRequest 中的一个 try-catch，它在访问 HttpContext.Current.Request.Form 时捕获了错误，然后将其吞没。与 uploadify 的 cookie 修复有关

Answer 2

我在追踪类似问题时偶然发现了这个问题。我的问题是，相关页面将其数据作为 JSON 发布，而默认的 JSON 模型绑定器不执行 ASP.NET 请求验证。我最终找到了 Imran Baloch 的一篇博客文章，描述了这种已知的行为及其解决方法： http://forums.asp.net/t/1682096.aspx?MVC3+JSON+Security。

我知道这不是OP的问题，但也许其他人会发现它有用。

Answer 3

如果您安装 Glimpse 我发现了同样的问题

web.config 中的以下行完全停止了请求验证的发生 - 无论如何您的一瞥设置是什么：

<system.webServer>
    <modules runAllManagedModulesForAllRequests="true">
        <add name="Glimpse" type="Glimpse.AspNet.HttpModule, Glimpse.AspNet" preCondition="integratedMode" />
    </modules>
</system.webServer>

Answer 4

好的。我们将配置文件带到一个带有单页的全新站点，并系统地开始删除部分，直到发现问题。

我们对站点中的某些控件使用第三方库，并且我们发现删除此部分：

<httpModules>
    <add name="CallbackManager" 
      type="Dart.PowerWEB.LiveControls.CallbackManager,Dart.PowerWEB.LiveControls"/>
</httpModules>

为我们解决了问题（但在其他地方给我们带来了一些问题）。