Ця стаття є дзеркальною статтею машинного перекладу, будь ласка, натисніть тут, щоб перейти до оригінальної статті.

Architect_Programmer_Code Сільськогосподарська мережа»Архітектор › Програмування › .Net/C # › ASP.NET Заборонити доступ до файлів журналів у вигляді URL
Вид: 11727|Відповідь: 0

[Чайови] ASP.NET Заборонити доступ до файлів журналів у вигляді URL

[Копіювати посилання]
Опубліковано 19.09.2020 12:55:09 | | | |
asp.net При використанні log4net для запису логів файли журналів зберігаються у папці кореневого каталогу проєкту, якщо зловмисник зможе знайти txt log файл за допомогою запитів на перебор і отримати доступ через URL, можна отримати конфіденційну інформацію, як заблокувати доступ до конфіденційної директорії через URL? Ця стаття пояснить.

Лог-файли:

http://localhost:60155/Log/LogInfo/20180903.txt



Ви можете легко читати вміст журналу через браузер, як заблокувати доступ до чутливих каталогів через URL?

Метод 1 (виміряний)

У Web.config налаштуйте таку конфігурацію:



У цей момент перегляньте 20180903.txt у каталозі Log/LogInfo і дізнайтеся, що це заборонено, а запит виглядає так:



Сторінка показує помилку 404, а сторінка — це власна сторінка помилки 404, яку я налаштував.

Примітка: налаштований журнал не буде чутливим до регістру, тобто всі малі URL-посилання також повідомлятимуть про помилку 404.

Метод 2 (не протестований)

Або відредагуйте файл web.config наступним чином:


Код HttpForbiddenHandler виглядає так:


Принцип полягає в тому, щоб пересилати посилання з заданого правила на відповідний конвеєр запитів, а потім налаштований HTTP-конвеєр запитів обробляє запит.




Попередній:Autofac контролює обсяг і термін служби
Наступний:ASP.NET Core отримує відносний шлях до поточної URL

Пов'язані дописи
Застереження:
Усе програмне забезпечення, програмні матеріали або статті, опубліковані Code Farmer Network, призначені лише для навчання та досліджень; Вищезазначений контент не повинен використовуватися в комерційних чи незаконних цілях, інакше користувачі несуть усі наслідки. Інформація на цьому сайті надходить з Інтернету, і спори щодо авторських прав не мають до цього сайту. Ви повинні повністю видалити вищезазначений контент зі свого комп'ютера протягом 24 годин після завантаження. Якщо вам подобається програма, будь ласка, підтримуйте справжнє програмне забезпечення, купуйте реєстрацію та отримайте кращі справжні послуги. Якщо є будь-яке порушення, будь ласка, зв'яжіться з нами електронною поштою.
Mail To:help@itsvse.com