asp.net做网站的安全性方面要注意哪些？
帮你找的资料,看看有没有帮助
在网络经常看到网站被挂马、主页被修改的新闻，其实这些问题可能是多方面的，服务器，网站程序等等。但是现在溢出已经被人们重视和服务器的不断完善，服务器系统漏洞也不是那么容易发掘，当然也要保证第三方的软件安全。 做项目也有一段时间了。在程序中也遇到很多安全方面的问题。也该总结一下了。这个项目是一个CMS系统。系统是用ASP.NET做的。开发的时候发现微软做了很多安全措施，只是有些新手程序员不知道怎么开启。下面我通过几个方面简单介绍：
1：SQL 注入
2：XSS
3：CSRF
4：文件上传
1：SQL 注入
引起原因：
其实现在很多网站中都存在这种问题。就是程序中直接进行SQL语句拼接。可能有些读者不太明白。下面通过一个登录时对用户验证来说明：
code:
验证时的sql语句: * user='" txtUsername.Text "' and pwd='" txtPwd.Text "'
这是一段从数据库中查询用户，对用户名，密码验证。
看上去好象没有什么问题，但是实际这里面浅藏着问题，用户名：admin 密码： admin，
* user='admin' and pwd='admin'
如果用户和密码正确就可通验证。如果我用户名：asdf' or 1=1 -- 密码：随意输入.
我们再来看语句：
* user=‘asdf' or 1=1 -- and pwd=''
执行后看到什么？是不是所有记录，如果程序只是简单判断返回的条数，这种方法就可以通验证。
如果执行语句是SA用户，再通过xp_cmdshell添加系统管理员，那么这个服务器就被拿下了。
解决方法：
（1）：这个问题主要是由于传入特殊字符引起的我们可以在对输入的用户名密码进入过滤特殊字符处理。
（2）：使用存储过程通过传入参数的方法可解决此类问题（注意：在存储过程中不可使用拼接实现，不然 和没用存储过和是一样的）。
2：XSS（跨站脚本攻击）
引起原因：
这个也有时被人们称作HTML注入，和sql注入原理相似，也是没有特殊字符进行处理。是用户可以提交HTML标签对网站进行重新的构造。其实在默认的情况下在asp.net网页中是开启validateRequest属性的，所有HTML标签后会.NET都会验证：
但这样直接把异常抛给用户，多少用户体验就不好。
解决方法：
（1）：通过在 Page 指令或 配置节中设置 validateRequest=false 禁用请求验证，然后我们对用户提交的数据进行HtmlEncode,编码后的就不会出现这种问题了（ASP.NET 中编码方法：Server.HtmlEncode(string)）。
（2）：第二种是过滤特殊字符，这种方法就不太提倡了，如果用户想输入小于号（）也会被过滤掉.
3：CSRF（跨站点请求伪造）
引起原因：
个人认为csrf在Ajax盛行的今天来说，倒是方便了，因为它可以在你不知道的情况用你的通过验证用户进行操作，所以也被称为浏览器劫持。如果你已通过某个网站的验证那么你将以你的角色对网站进行操作，比如你是管理员可以添加其它的用户到管理组，但是如果有人构造了添加管理员的链接被管理员点后也会执行相应操作.
解决方法：
在lake2的文章中也提出了。就是修改信息时添加验证码。或添加Session令牌（ASP.NET中已经提供一个自动防范的方法，就是用页面属性ViewStateUserKey.在Page_Init方法中设置其值。 this.ViewStateUserKey=Session.SessionID）。
ASP网站的XSS跨站漏洞出现原因及解决办法？
Xss漏洞主要利用的是把输出的内容信息转化成脚本信息，这就需要把输出信息做过滤，这方面的过滤API可以考虑OWASP的ESAPI。这个API有面向ASP的版本，去OWASP官网去找吧。
恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。
ASP
漏洞代码示例：
%
Dim param
Set param=Request.QueryString(“dd”)
response.write param
%
修复范例：
%
Dim param
Set param=Request.QueryString(“dd”)
response.write Server.HTMLEnCode(param)
%
PHP
漏洞代码示例：
?php
$aa=$_GET['dd'];
echo $aa.”123″;
?
修复范例：
?php
$aa=$_GET['dd'];
echo htmlspecialchars($aa).”123″;
?
asp.net mvc3 怎样实现xss过滤 但允许html标签
你可以自己写Helper，建立白名单，只有在白名单内的HTML标签才转换成HTML直接输出
关于ASP网站XSS漏洞,请帮忙过滤一下，谢谢
Function Checkxss(byVal ChkStr)
Dim Str
Str = ChkStr
If IsNull(Str) Then
CheckStr = ""
Exit Function
End If
Str = Replace(Str, "", "")
Str = Replace(Str, "'", "´")
Str = Replace(Str, """", """)
Str = Replace(Str, "", "")
Str = Replace(Str, "", "")
Str = Replace(Str, "/", "/")
Str = Replace(Str, "*", "*")
Dim re
Set re = New RegExp
re.IgnoreCase = True
re.Global = True
re.Pattern = "(w)(here)"
Str = re.Replace(Str, "$1here")
re.Pattern = "(s)(elect)"
Str = re.Replace(Str, "$1elect")
re.Pattern = "(i)(nsert)"
Str = re.Replace(Str, "$1nsert")
re.Pattern = "(c)(reate)"
Str = re.Replace(Str, "$1reate")
re.Pattern = "(d)(rop)"
Str = re.Replace(Str, "$1rop")
re.Pattern = "(a)(lter)"
Str = re.Replace(Str, "$1lter")
re.Pattern = "(d)(elete)"
Str = re.Replace(Str, "$1elete")
re.Pattern = "(u)(pdate)"
Str = re.Replace(Str, "$1pdate")
re.Pattern = "(\s)(or)"
Str = re.Replace(Str, "$1or")
re.Pattern = "(\n)"
Str = re.Replace(Str, "$1or")
'----------------------------------
re.Pattern = "(java)(script)"
Str = re.Replace(Str, "$1script")
re.Pattern = "(j)(script)"
Str = re.Replace(Str, "$1script")
re.Pattern = "(vb)(script)"
Str = re.Replace(Str, "$1script")
'----------------------------------
If Instr(Str, "expression") 0 Then
Str = Replace(Str, "expression", "expression", 1, -1, 0) '防止xss注入
End If
Set re = Nothing
Checkxss = Str
End Function
使用方法：Checkxss(request.QueryString("变量"))，或者Checkxss(request.form("表单名"))
XSS（跨站脚本漏洞）谁帮忙修复下，我看着就头大，一窍不通啊。
对于php你可以用htmlentities()函数
例如这样:
?php
echo htmlentities($_POST['abc']);
?
至于asp，默认就能防xss攻击，无需任何操作
asp网站如何防止XSS攻击
asp中防止xss攻击的方法如下：
确保所有输出内容都经过 HTML 编码。
禁止用户提供的文本进入任何 HTML 元素属性字符串。
根据 msdn.microsoft.com/library/3yekbd5b 中的概述，检查 Request.Browser，以阻止应用程序使用 Internet Explorer 6。
了解控件的行为以及其输出是否经过 HTML 编码。如果未经过 HTML 编码，则对进入控件的数据进行编码。
使用 Microsoft 防跨站点脚本库 (AntiXSS) 并将其设置为您的默认 HTML 编码器。
在将 HTML 数据保存到数据库之前，使用 AntiXSS Sanitizer 对象（该库是一个单独的下载文件，将在下文中介绍）调用 GetSafeHtml 或 GetSafeHtmlFragment；不要在保存数据之前对数据进行编码。
对于 Web 窗体，不要在网页中设置 EnableRequestValidation=false。遗憾的是，Web 上的大多数用户组文章都建议在出现错误时禁用该设置。该设置的存在是有原因的，例如，如果向服务器发送回“X”之类的字符组合，该设置将阻止请求。如果您的控件将 HTML 发送回服务器并收到图 5 所示的错误，那么理想情况下，您应该在将数据发布到服务器之前对数据进行编码。这是 WYSIWYG 控件的常见情形，现今的大多数版本都会在将其 HTML 数据发布回服务器之前对该数据进行正确编码。
对于 ASP.NET MVC 3 应用程序，当您需要将 HTML 发布回模型时，不要使用 ValidateInput(false) 来关闭请求验证。只需向模型属性中添加 [AllowHtml] 即可，如下所示：
public class BlogEntry
{
public int UserId {get;set;}
[AllowHtml]
public string BlogText {get;set;}
}
asp项目中如何防止xss攻击
asp中防止xss攻击的方法如下：
确保所有输出内容都经过 HTML 编码。
禁止用户提供的文本进入任何 HTML 元素属性字符串。
根据 msdn.microsoft.com/library/3yekbd5b 中的概述，检查 Request.Browser，以阻止应用程序使用 Internet Explorer 6。
了解控件的行为以及其输出是否经过 HTML 编码。如果未经过 HTML 编码，则对进入控件的数据进行编码。
使用 Microsoft 防跨站点脚本库 (AntiXSS) 并将其设置为您的默认 HTML 编码器。
在将 HTML 数据保存到数据库之前，使用 AntiXSS Sanitizer 对象（该库是一个单独的下载文件，将在下文中介绍）调用 GetSafeHtml 或 GetSafeHtmlFragment；不要在保存数据之前对数据进行编码。
对于 Web 窗体，不要在网页中设置 EnableRequestValidation=false。遗憾的是，Web 上的大多数用户组文章都建议在出现错误时禁用该设置。该设置的存在是有原因的，例如，如果向服务器发送回“X”之类的字符组合，该设置将阻止请求。如果您的控件将 HTML 发送回服务器并收到图 5 所示的错误，那么理想情况下，您应该在将数据发布到服务器之前对数据进行编码。这是 WYSIWYG 控件的常见情形，现今的大多数版本都会在将其 HTML 数据发布回服务器之前对该数据进行正确编码。
对于 ASP.NET MVC 3 应用程序，当您需要将 HTML 发布回模型时，不要使用 ValidateInput(false) 来关闭请求验证。只需向模型属性中添加 [AllowHtml] 即可，如下所示：
public class BlogEntry
{
public int UserId {get;set;}
[AllowHtml]
public string BlogText {get;set;}
}
asp.net如何防止xss(脚本注入啊)
scriptalert('abc')/script 替换成scriptalert('abc')/script这样的话显示出来也是scriptalert('abc')/script 但是意义却不再是脚本而是字符串了。可以通过替换把这两个符号替换掉即可。