Sharepoint 2010/SSRS 2008R2安全漏洞

我們正在爲客戶門戶使用Sharepoint實施。我們正在爲每個客戶提供一個可以訪問報告的網站。我們使用相同的報告庫，每個報告都採用一個參數作爲客戶端的唯一標識符。我們遇到的問題是，只要您可以對系統進行身份驗證，您就可以在包含報告的頁面上查看源代碼，並通過Google搜索來了解如何將查詢字符串放在一起以提取報告。通過選擇隨機的身份證號碼，您可以提取其他客戶報告。Sharepoint 2010/SSRS 2008R2安全漏洞

賠率是客戶不會這樣做，但總是有機會，我們正在尋找關閉這個漏洞。

其他人碰到過嗎？我們有一些可能的解決方案，但希望可能會更簡單一點，我們錯過了。

來源

2011-03-22 Matt Klepeis

在SSRS中，您可以訪問用戶的ID：如果您創建的內部參數設置爲該值（= User.UserID），則查詢可以檢查該用戶是否有權查看請求的數據。（即創建一個帶有允許用戶訪問並加入的UniqueID的表格）。

將此與唯一的ID參數結合使用，您應該被覆蓋。

來源

2011-03-24 01:55:17

謝謝！我喜歡這個：） – 2011-03-24 03:57:25

如果您爲每個報告設置了項目級權限，則不應該有此問題。

來源

2011-03-22 22:35:35

如果我們在每個客戶站點庫中放置了所有報表的副本，情況就會如此。鑑於每個客戶站點都可以訪問相同的報告池，我們寧可不要重複這一點。我們有一個文檔庫所在的根站點，然後每個客戶站點都是該站點的一個子站點，可以訪問文檔庫。每個子站點都將有一個唯一ID，作爲參數傳遞到報告中以加載適當的報告值。問題是你可以通過查看源代碼來拼湊報告查詢字符串。 – 2011-03-22 23:24:51

Sharepoint 2010/SSRS 2008R2安全漏洞

回答

相關問題