ASP.NET Verbied toegang tot logbestanden in de vorm van URL's.

Klein tuig · Geplaatst op 19-09-2020 12:55:09

asp.net Wanneer je logs van logs gebruikt, worden logbestanden opgeslagen in een map in de rootmap van het project; als de aanvaller het txt-logbestand kan vinden via brute force-imitatieverzoeken en toegang krijgt via de URL, kun je gevoelige informatie verkrijgen, hoe blokkeer je de gevoelige map voor toegang via de URL? Dit artikel zal het uitleggen.

Logbestanden:

http://localhost:60155/Log/LogInfo/20180903.txt

Je kunt de inhoud van het logbestand gemakkelijk via een browser lezen, hoe blokkeer je gevoelige mappen zodat ze via URL's niet worden benaderd?

Methode 1 (Gemeten)

Configureer in Web.config de volgende configuratie:

Inloggen is zichtbaar.

Blader op dit moment opnieuw door de 20180903.txt in de Log/LogInfo-directory en ontdek dat het verboden is, en de prompt is als volgt:

De pagina toont een 404-foutmelding en de pagina is een aangepaste 404-foutpagina die ik heb aangepast.

Opmerking: Het geconfigureerde logboek zal niet hoofdlettergevoelig zijn, dat wil zeggen, alle linklinks met kleine letters zullen ook een 404-fout rapporteren.

Methode 2 (ongetest)

Of bewerk het web.config-bestand als volgt:

Inloggen is zichtbaar.

De HttpForbiddenHandler-code is als volgt:

Inloggen is zichtbaar.

Het principe is om de link van de gespecificeerde regel door te sturen naar de bijbehorende requestpipeline, waarna de aangepaste HTTP-requestpipeline het verzoek verwerkt.

[Tips] ASP.NET Verbied toegang tot logbestanden in de vorm van URL's.

Gerelateerde berichten

Secties bekeken