ASP.Net 1.1 Viewstate安全

Question

在ASP.Net 1.1中，最終用戶可能會在將視圖數據發回服務器之前更改視圖數據，例如使其看起來像在不存在的下拉列表中選擇的項目？我已經嘗試使用螢火蟲操作下拉列表中的值，但服務器似乎忽略了這一點，我假設因爲viewstate說該項目不存在，但是如果它可能改變viewdata來實現這一點，那麼可能會更多的問題。

我在問，因爲我被要求查看我們的一個應用程序的安全性，如果上述可能會有一個很大的安全漏洞。

只是爲了澄清我不是在問怎麼樣，我不想打破別人的軟件我只需要知道它是否值得關注。

希望這是有道理的。

謝謝

Answer 1

是的，視圖狀態可以被黑客入侵。在ASP.NET 2.0中引入了一個功能，允許一個到Encrypt the View State，從而防止這些類型的攻擊。

Hacking View State for Fun & Profit詳細說明如何破解應用程序的視圖狀態。