在web.config中創建自定義的httphandler：我是否有暴露'Padding Oracle'漏洞的風險？

Question

考慮到最近的ASP.NET漏洞，我應該在我的httphandlers中尋找哪些可能會導致Padding Oracle漏洞的東西？

以另一種方式提問...... MSFT做錯了什麼，他們在處理程序中修復了什麼？

Answer 1

我認爲這個錯誤是他們給出了有關錯誤的「太多」信息。

@Sri這裏分析得很好
How serious is this new ASP.NET security vulnerability and how can I workaround it?

Answer 2

有3個問題的WebResource.axd和的ScriptResource.axd：

1. 工作作爲填充神諭。這是因爲這些解密後的信息以查詢字符串形式發送，並且在解密後的字符串中存在無效填充或有效填充時表現不同 - 因爲它已被篡改。微軟所做的修復包括使用HMAC來防止數據被篡改 - 這是在任何填充檢查之前檢查的，因此它不會顯示填充信息
2. 依靠正常的加密/解密來接收資源/文件請求。這並不意味着需要防篡改機制。
3. 允許任何類型的文件的訪問，不僅JavaScript文件

底線，不要讓過多的權限且僅當您真正需要的加密/解密防篡改它。

當天回我博文約how it related to getting different levels of access