ASP.NET Prepovedati dostop do dnevnikov v obliki URL-jev

Mala drhal · Objavljeno na 19. 09. 2020 12:55:09

asp.net Ko uporabljaš log4net za pisanje dnevnikov, bodo dnevniške datoteke shranjene v mapi v korenski mapi projekta, če napadalec najde txt dnevnik datoteko preko zahtev za grobo silo in dostopa do nje preko URL-ja, lahko pridobiš nekaj občutljivih informacij, kako blokirati dostop do občutljive mape preko URL-ja? Ta članek bo pojasnil.

Dnevniške datoteke:

http://localhost:60155/Log/LogInfo/20180903.txt

Vsebino dnevnika lahko enostavno preberete prek brskalnika, kako blokirati dostop do občutljivih imenikov prek URL-jev?

Metoda 1 (izmerjeno)

V Web.config nastavite naslednjo konfiguracijo:

Prijava je vidna.

Takrat ponovno prebrskajte 20180903.txt v mapi Log/LogInfo in ugotovite, da je prepovedan, poziv pa je naslednji:

Stran prikazuje napako 404, stran pa je po meri narejena 404 napaka, ki sem jo prilagodil.

Opomba: Nastavljeni dnevnik ne bo občutljiv na velike in male črke, torej bodo vse povezave z malimi črkami prav tako poročale o napaki 404.

Metoda 2 (nepreizkušena)

Ali pa uredite datoteko web.config na naslednji način:

Prijava je vidna.

Koda HttpForbiddenHandler je naslednja:

Prijava je vidna.

Načelo je, da se povezava določenega pravila posreduje ustreznemu cevovodu za zahteve, nato pa prilagojeni HTTP cevovod za zahteve obdela zahtevo.

[Napitnine] ASP.NET Prepovedati dostop do dnevnikov v obliki URL-jev

Sorodne objave

Ogledi odsekov