.net腳本安全級別設置

可能每個同學在日站時都會遇到上傳aspx大馬后無法執(zhí)行或者在大馬內(nèi)執(zhí)行cmd命令，和IISSPY時會出現(xiàn)錯誤信息。如：
圖1]

相信很多人還不理解里面的原理。下面我來科普一下吧。
首先帖一些microsoft官方關于在ASP.NET 中配置代碼訪問安全性的說明。
在默認情況下，Web 應用程序按完全信任級別運行，且權限無限制。要修改 ASP.NET 中代碼訪問安全性的信任級別，必須在 Machine.config 或 Web.config 中設置一項參數(shù)，然后將應用程序配置為部分信任應用程序
配置信任級別
web.config 中的 <trust> 元素控制了是否啟用 Web 應用程序的代碼訪問安全性。打開 web.config，搜索 <trust>，您可看到下列內(nèi)容。
<system.web>
<!– level=”[Full|High|Medium|Low|Minimal]” –>
<trust level=”Full” originUrl=””/>
</system.web>
如果將信任級別設置為“完全”，代碼訪問安全性停用，因為權限要求資源的訪問不受阻礙。這是構建于 .NET Framework 1.0 版本之上的 Web 應用程序的唯一選項。參考下面從“完全”到“最低”的權限列表，每個級別都去掉了若干權限。通過逐步限制應用程序的權限，使之只能訪問安全的資源并執(zhí)行特權操作。每個級別都產(chǎn)生更大程度的應用程序隔離。圖1顯示了預定義信任級別，指出了與上一級別相比的主要限制。
圖2 ASP.NET 信任級別的限制

鎖定信任級別

如果 Web 服務器管理員希望通過代碼訪問安全性來確保應用程序隔離，并限制對系統(tǒng)資源的訪問，管理員必須能在計算機級別上定義安全策略并阻止個人程序替代它。

應用程序服務提供商（或任何負責運行同一服務器各種 Web 應用程序的人）都必須鎖定所有 Web 應用程序的信任級別。為此，請在 web.config文件的 <location> 標記中增加 <trust> 元素，將 allowOverride 屬性設置為 false，如下例所示。
<location allowOverride=”false”>
<system.web>
<!– level=”[Full|High|Medium|Low|Minimal]” –>
<trust level=”Medium” originUrl=””/>
</system.web>
</location>
下面說說我自己的理解和我在虛擬機上做的測試。
要做設置的web.config文件存在于C:WINDOWSMicrosoft.NETFrameworkv2.0.50727CONFIG中
其中關鍵部分默認不修改是這樣的
<securityPolicy>
<trustLevel name=”Full” policyFile=”internal” />
<trustLevel name=”High” policyFile=”web_hightrust.config” />
<trustLevel name=”Medium” policyFile=”web_mediumtrust.config” />
<trustLevel name=”Low” policyFile=”web_lowtrust.config” />
<trustLevel name=”Minimal” policyFile=”web_minimaltrust.config” />
</securityPolicy>
<trust level=”Full” originUrl=”” />
請注意trust level=”Full”，這里是關鍵，
Full即是完全權限，是系統(tǒng)默認設置，沒有任何限制的權限，可執(zhí)行aspx大馬，功能沒有限制。可使用aspx一句話連接。
High，代碼訪問權限為高，此時可以執(zhí)行aspx大馬，但功能遭到限制，無法執(zhí)行命令、查看注冊表、系統(tǒng)進程、系統(tǒng)服務 和使用IISSPY，一但執(zhí)行以上操作，便出現(xiàn)圖1這樣的錯誤頁面。使用菜刀對aspx一句話進行連接會出現(xiàn)以下錯誤

如果站點要支持aspx，也要配置權限來防止入侵，我們可以選擇High。
Medium，權限配置為中，國內(nèi)大部分虛擬主機是這樣配置的，IIS中的應用程序配置中存在aspx映射，但無法執(zhí)行任何aspx代碼。這樣就徹底的斷絕了aspx代碼的執(zhí)行。
其他權限解釋大家可以參考圖1
相對來說，我們只要掌握以上3種權限的配置即可，配置完成后將web.config設置為只讀，這樣就保證了站點和服務器的網(wǎng)絡安全。

分享標題：.net腳本安全級別設置
轉載來源：http://www.muchs.cn/news28/163528.html

成都網(wǎng)站建設公司_創(chuàng)新互聯(lián)，為您提供關鍵詞優(yōu)化、App開發(fā)、網(wǎng)站營銷、搜索引擎優(yōu)化、自適應網(wǎng)站、ChatGPT

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉載內(nèi)容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉載，或轉載時需注明來源： 創(chuàng)新互聯(lián)