我们应该如何在 aspx .net 中验证 http 标头引荐来源网址

Question

我想确保在错误页面上没有任何不妥之处进入引荐来源网址。

为了验证 http 标头，我应该检查什么。

下面是我当前的代码：

// Ensure the referrer header is good
if (this.Request.UrlReferrer.IsWellFormedOriginalString() &&
    this.Request.UrlReferrer.Host.Equals(this.Request.Url.Host))
{

这将导致使用 %3C 和 %3E 而不是 的 acunetix 扫描失败，因此我显然需要涵盖 html 编码 - 还有什么我遗漏的吗？

更新 我可以使用以下代码捕获所有 acunetix 扫描：

if (this.Request.UrlReferrer.IsWellFormedOriginalString() &&
    this.Request.UrlReferrer.Host.Equals(this.Request.Url.Host) &&
    !Regex.IsMatch(this.Request.UrlReferrer.ToString(),
                   "%3C",
                   RegexOptions.IgnoreCase))
{

Answer 1

我想确保在错误页面上没有任何不妥之处进入引荐来源网址。

然后始终对您输出到错误页面的任何字符串进行 HTML 转义 — 包括引荐来源网址 — 。

尝试逐个选择包含潜在危险字符的输入并将其列入黑名单是在倒退。您可能无法捕获所有可能的攻击，并且您将不必要地禁止有效 URL。 （在 URL 中包含“%3C”是完全合理的。）

Answer 2

this.Request.UrlReferrer 可能为 null，如果没有提供或参与的推荐人。