ASP.NET Webforms 参数篡改答案

【问题标题】：ASP.NET Webforms Parameter tamperingASP.NET Webforms 参数篡改
【发布时间】：2021-12-30 04:01:35
【问题描述】：

我已经为此苦苦挣扎了好几个星期。我已经构建了一个 ASP.NET Web 表单应用程序，并且正在对其漏洞进行审计。

Burp 工具用于测试，它能够拦截和编辑文本框的值。

我有一个带有文本框、按钮的简单表单，我在我的 txtUserID 中输入值“1234”

Burp 能够拦截 POST 请求并编辑 txtUserID 值 [下面的黑色方块]

编辑txtUserID文本框后，被篡改的值反映在应用程序上。

网站在自签名证书上运行。 MAC 已启用，Web 配置中的 Viewstate 加密应用程序级别[如果与此相关]

请帮助我如何修复此漏洞？

提前致谢。

【问题讨论】：

【解决方案1】：

您演示的是Main in the middle attack 的示例。在您的示例中，攻击者由 Burp 表示。

从浏览器到服务器的流量是安全的，假设通信是加密的（通过 SSL）。

但是，如果攻击者充当浏览器和服务器之间的代理，他们可以更改所有流量。

客户端唯一明显的区别是证书 - 攻击者永远无法假装他们使用原始服务器的证书，相反，客户端会在浏览器中看到攻击者的证书。

【讨论】：

感谢您的评论。是的，确实是 MITM 问题。请原谅我的无知，但您能帮我提供有关如何通过验证证书来减轻它的链接/程序吗？
@Chendur 证书显示在 Web 浏览器中的 url 旁边。如果浏览器认为证书无效（中间有人的情况下），则浏览器显示证书有问题。但是，没有办法对此做任何事情，也没有代码可以阻止它。这只是用户和他们的意识。
用户可以做的就是安装一个 Web 浏览器扩展来维护已知站点的白名单。 chrome 扩展商店中有几个这样的扩展。
这已被突出显示为一个漏洞，我必须想办法修复它，以便应用程序移动 Prod。有没有办法可以隐藏显示文本框值的“__viewstate”字段？
用户可以在他们的机器上使用 Burp 编辑他们自己的请求这一事实被突出显示为漏洞？我们这里肯定还缺少其他东西。