آیا استفاده از requestValidationMode="2.0" برای همه صفحات سایت مشکل امنیتی ایجاد می کند؟

[bahar_engineer]

سلام
من یه وب سایت دارم که مال یه سازمان دولتی هست
به روز رسانی این سایت رو به من دادن
من یه سری صفحات جدید به این سایت اضافه کردم
توی ویژوال استدیو 2010
بعد هم توی هاست ورژن دات نت رو به 4 تغییر دادم
اما وقتی می خوایم صفحات رو ویرایش کنیم خطای a potentially dangerous request.form value was detected رو می ده
اول اومدم یکی یکی صفحات رو با کد زیر توی وب کانفیگ تغییر دادم اما خیلی صفحات سایت زیادن
و از طرفی می ترسم validation های کل صفحات رو false کنم و از نظر امنیتی مشکل پیش بیاد
آیا اصلا این راه درستیه ؟


<location path="page.aspx">
<system.web>
<httpRuntime requestValidationMode="2.0" />
</system.web>
</location>


فکر می کنم اگه از این کد استفاده کنم برای تمام صفحات مشکل امنیتی پیش بیاد :

<system.web>
<pages validateRequest="false" enableEventValidation="false" />
<httpRuntime requestValidationMode="2.0" />
<compilation debug="true" targetFramework="4.0" />
</system.web>


ممنونم از راهنمایی هاتون
لطفا اگه تردید دارید راهنمایی نکنید. سایت دولتی مهمه !!

[bahar_engineer]

یه نکته که الان چک کردم اینه که توی وب کانفیگ سایت این خط از قبل بود و سایت از نظر امنیتی هم هیچ وقت مشکلی نداشته
<pages validateRequest="false" enableEventValidation="false" />

حالا اگه من این خط رو اضافه کنم مشکلی پیش میاد از نظر امنیتی یا نه ؟
<httpRuntime requestValidationMode="2.0" />

بنظر می رسه که این دستور فقط از دات نت 2 استفاده می کنه و ربطی به امنیت نداشته باشه
منتظر راهنمایی هاتون هستم
مرسی

[ahmad156]

سلام
وقتی شما از دستورات زیر استفاده میکنین راه رو برای حملات XSS باز میکنین

validateRequest="false" enableEventValidation="false"

که این هم راه حل داره
http://www.dotnettips.info/post/562/%D9%85%D9%82%D8%A7%D8%A8%D9%84%D9%87-%D8%A8%D8%A7-xss-%DB%8C%DA%A9%D8%A8%D8%A7%D8%B1-%D8%A8%D8%B1%D8%A7%DB%8C-%D9%87%D9%85%DB%8C%D8%B4%D9%87

[website.expert]

که این هم راه حل داره
http://www.dotnettips.info/post/562/%D9%85%D9%82%D8%A7%D8%A8%D9%84%D9%87-%D8%A8%D8%A7-xss-%DB%8C%DA%A9%D8%A8%D8%A7%D8%B1-%D8%A8%D8%B1%D8%A7%DB%8C-%D9%87%D9%85%DB%8C%D8%B4%D9%87
ممنون،
ولی مزیتش نسبت به HtmlEncodeچی هست؟من همیشه ازش استفاده میکنم.
من متوجه نشدم!

[ahmad156]

توی پرسش و پاسخ جواب سوال شما هست