ASP.NET URLの形でログファイルへのアクセスを禁止する

クズども · 掲載地 2020/09/19 12:55:09

asp.net log4netを使ってログを書き込むと、ログファイルはプロジェクトのルートディレクトリ内のフォルダに保存されます。攻撃者がブルートフォースでそのtxtログファイルを見つけ、URL経由でアクセスできれば、機密情報を入手できます。どうすればURL経由で機密ディレクトリへのアクセスを防げますか? この記事ではその説明を解きます。

ログファイル:

http://localhost:60155/Log/LogInfo/20180903.txt

ブラウザからログファイルの内容を簡単に読むことができますが、URLを通じて機密ディレクトリへのアクセスをどうブロックすればいいのでしょうか?

方法1(測定)

Web.configで以下の設定をします:

ログインが見えます。

この時点で、Log/LogInfoディレクトリの20180903.txtを再度閲覧し、禁止されていることがわかり、プロンプトは以下の通りです:

ページには404エラーが表示されており、そのページは私がカスタマイズしたカスタム404エラーページです。

注意:設定されたログは大文字を区別せず、すべての小文字URLリンクも404エラーを報告します。

方法2(未検証)

または、web.configファイルを以下のように編集してください:

ログインが見えます。

HttpForbiddenHandlerのコードは以下の通りです:

ログインが見えます。

原則としては、指定されたルールのリンクを対応するリクエストパイプラインに転送し、カスタマイズされたHTTPリクエストパイプラインがそのリクエストを処理することです。

[ヒント] ASP.NET URLの形でログファイルへのアクセスを禁止する

関連記事

閲覧したセクション