ASP.NET Zakázať prístup k logovacím súborom vo forme URL URL

Malý · Zverejnené 19. 9. 2020 12:55:09

asp.net Pri používaní log4net na zápis logov budú logové súbory uložené v priečinku v koreňovom adresári projektu, ak útočník nájde txt log súbor cez požiadavky na hrubú silu a pristupuje k nemu cez URL, môžete získať citlivé informácie, ako zablokovať prístup k citlivému adresáru cez URL? Tento článok to vysvetlí.

Logové súbory:

http://localhost:60155/Log/LogInfo/20180903.txt

Obsah logu si môžete jednoducho prečítať cez prehliadač, ako zablokovať prístup k citlivým adresárom cez URL?

Metóda 1 (meraná)

V Web.config nakonfigurujte nasledujúcu konfiguráciu:

Prihlásenie je viditeľné.

V tomto momente si opäť prezrite 20180903.txt v adresári Log/LogInfo a zistite, že je zakázaný, pričom výzva je nasledovná:

Stránka zobrazuje chybu 404 a stránka je vlastná stránka s chybou 404, ktorú som si prispôsobil.

Poznámka: Nastavený log nebude rozlišovať veľkosť a písmeno, teda všetky odkazy na malé URL budú tiež hlásiť chybu 404.

Metóda 2 (netestovaná)

Alebo upravte súbor web.config nasledovne:

Prihlásenie je viditeľné.

Kód HttpForbiddenHandler je nasledovný:

Prihlásenie je viditeľné.

Princíp spočíva v tom, že sa odkaz na špecifikované pravidlo prepošle do príslušného pipeline požiadaviek a potom prispôsobený HTTP pipeline požiadaviek spracuje požiadavku.

[Tipy] ASP.NET Zakázať prístup k logovacím súborom vo forme URL URL

Súvisiace príspevky

Zobrazené sekcie