महत्वपूर्ण: ASP.NET सुरक्षा कमजोरता

कुछ घंटों पहले, हमने ASP.NET (Microsoft सुरक्षा सलाहकार) में सुरक्षा सिफारिशें जारी कीं। यह भेद्यता ASP.NET के सभी संस्करणों में मौजूद है।



यह भेद्यता सार्वजनिक रूप से शुक्रवार रात एक सुरक्षा सम्मेलन में प्रकट की गई थी। हम अनुशंसा करते हैं कि ASP.NET का उपयोग करने वाले सभी ग्राहक तुरंत इसके इस्तेमाल से होने वाले हमलों को रोकने के लिए वर्कअराउंड (नीचे वर्णित) लागू करें।



भेद्यता खतरनाक क्यों है?



इस भेद्यता का उपयोग करते हुए, एक हमलावर ASP.NET अनुप्रयोग जैसे कि web.config (जिसमें अक्सर संवेदनशील डेटा होता है) में शामिल सर्वर फ़ाइलों से अनुरोध और डाउनलोड कर सकता है।



इस भेद्यता का उपयोग करते हुए, एक हमलावर ग्राहक को एन्क्रिप्टेड स्थिति में भेजे गए डेटा को भी डिक्रिप्ट कर सकता है (जैसे पृष्ठ पर ViewState डेटा)।



भेद्यता कैसे काम करती है?



यह समझने के लिए कि भेद्यता कैसे काम करती है, आपको क्रिप्टोग्राफिक ऑर्कल्स से परिचित होना चाहिए। क्रिप्टोग्राफी के संदर्भ में एक ओरेकल एक ऐसी प्रणाली है जो उन सवालों के जवाब में संकेत प्रदान करती है जो आप उससे पूछते हैं। इस स्थिति में, ASP.NET में एक भेद्यता मौजूद होती है और एक ओरेकल के रूप में कार्य करती है। यह हमलावर को वेब सर्वर पर एन्क्रिप्टेड पाठ भेजने और यह पता लगाने की अनुमति देता है कि क्या सर्वर द्वारा दिए गए त्रुटि कोड की जांच करके इसे सही ढंग से डिक्रिप्ट किया गया है। इस तरह के कई अनुरोधों को निष्पादित करके (और यह देखते हुए कि क्या त्रुटियां वापस आती हैं), एक हमलावर को शेष एन्क्रिप्ट किए गए पाठ को डिक्रिप्ट करने के लिए पर्याप्त जानकारी मिल सकती है।



भेद्यता को कैसे बंद करें



इस भेद्यता को बंद करने के लिए आप जिस वर्कअराउंड का उपयोग कर सकते हैं वह ASP.NET विकल्प को सक्षम करने और अपने अनुप्रयोगों को स्पष्ट रूप से कॉन्फ़िगर करने के लिए है ताकि वे हमेशा एक ही त्रुटि पृष्ठ वापस कर दें, चाहे सर्वर पर वास्तव में किस तरह की त्रुटि हुई हो। सभी त्रुटि पृष्ठों को एक त्रुटि पृष्ठ पर पुनर्निर्देशित करके, आप हैकर को सर्वर पर होने वाली विभिन्न प्रकार की त्रुटियों के बीच अंतर करने की अनुमति नहीं देंगे।



महत्वपूर्ण : यह केवल CustomErrors विकल्प को सक्षम करने के लिए पर्याप्त नहीं है और इसके RemoteOnly विशेषता को सही पर सेट करें। आपको यह भी सुनिश्चित करने की आवश्यकता है कि एक ही पृष्ठ को वापस करने के लिए सभी त्रुटियों को कॉन्फ़िगर किया गया है। आपको <customErrors> अनुभाग की स्पष्ट रूप से "defaultRedirect" विशेषता सेट करने की आवश्यकता है और सुनिश्चित करें कि कोई भी स्थिति कोड सेट नहीं है।



ASP.NET V1.0 से V3.5 पर समाधान



यदि आप ASP.NET 1.0, ASP.NET 1.1, ASP.NET 2.0 या ASP.NET 3.5 का उपयोग कर रहे हैं, तो आपको एक ही त्रुटि पृष्ठ पर सभी त्रुटियों को सक्षम और संबोधित करने के लिए इन चरणों का पालन करना होगा:



1) अपने ASP.NET एप्लिकेशन के रूट डायरेक्टरी में Web.Config फाइल को एडिट करें। यदि फ़ाइल मौजूद नहीं है, तो इसे एप्लिकेशन की मूल निर्देशिका में बनाएं।



2) web.config फ़ाइल में एक अनुभाग बनाएं या संपादित करें ताकि इसकी सेटिंग्स निम्नानुसार हों:

< configuration >

< system.web >

< customErrors mode ="On" defaultRedirect ="~/error.html" />

</ system.web >

</ configuration >



* This source code was highlighted with Source Code Highlighter .

3) फिर आप अपने आवेदन में error.html फ़ाइल जोड़ सकते हैं जिसमें संबंधित उपस्थिति का त्रुटि पृष्ठ है। यह फ़ाइल हर बार वेब एप्लिकेशन में त्रुटि होने पर दिखाई जाएगी।



टिप्पणी : यहां बताया गया है कि ऊपर दिए गए उदाहरण में ध्यान दिया जाना चाहिए कि कस्टमर "पर" पर सेट है, और सभी त्रुटियों को "defaultRedirect" विशेषता में निर्दिष्ट त्रुटि पृष्ठ द्वारा नियंत्रित किया जाता है। त्रुटि पृष्ठों की स्थिति पृष्ठों द्वारा भी क्या निर्धारित नहीं किया जाता है - यह जाँच कर देखा जा सकता है कि <code> <customErrors> </ code> अनुभाग के अंदर कोई <त्रुटि> तत्व तो नहीं हैं। इन शर्तों की पूर्ति एक हमलावर को सर्वर पर होने पर त्रुटियों के बीच अंतर करने और सूचना के प्रकटीकरण को रोकने की अनुमति नहीं देगा।



ASP.NET V3.5 SP1 और ASP.NET 4.0 पर समाधान



यदि आप ASP.NET 3.5 SP1 या ASP.NET 4.0 का उपयोग कर रहे हैं, तो आपको <customErrors> विकल्प को सक्षम करने के लिए नीचे दिए गए चरणों का पालन करना होगा और एक त्रुटि पृष्ठ पर सभी त्रुटियों को संबोधित करना होगा:



1) अपने ASP.NET अनुप्रयोग के Web.Config फ़ाइल को संपादित करें। यदि यह मौजूद नहीं है, तो इसे एप्लिकेशन की रूट डायरेक्टरी में बनाएं।



2) web.config फ़ाइल के <customErrors> अनुभाग को बनाएं या संशोधित करें ताकि आप निम्न सामग्री के साथ समाप्त हो जाएं। .NET 3.5 SP1 और .NET 4.0 में redirectMode = "ResponseRewrite" के उपयोग पर ध्यान दें।

< configuration >

< system.web >

< customErrors mode ="On" redirectMode ="ResponseRewrite" defaultRedirect ="~/error.aspx" />

</ system.web >

</ configuration >



* This source code was highlighted with Source Code Highlighter .

3) आप कर सकते हैं, आप अपने आवेदन में जोड़ सकते हैं Error.aspx जिसमें संबंधित उपस्थिति का त्रुटि पृष्ठ है। यह फ़ाइल हर बार वेब एप्लिकेशन में त्रुटि होने पर दिखाई जाएगी।



4) हम निम्नलिखित कोड को उत्तरी Page_Load () ईवेंट के हैंडलर में Error.aspx फ़ाइल में जोड़ने के लिए एक छोटे से यादृच्छिक छोटे विलंब को जोड़ने की सलाह देते हैं। इससे त्रुटियों को और अधिक दूर करने में मदद मिलेगी।



VB के लिए संस्करण



नीचे VB के लिए Error.aspx का संस्करण है जिसे आप उपयोग कर सकते हैं और जिसमें थोड़ा यादृच्छिक विलंब है। आपको इस कोड को एप्लिकेशन में संकलित करने की आवश्यकता नहीं है, वैकल्पिक रूप से आप वेब सर्वर पर एप्लिकेशन निर्देशिका में Error.aspx फ़ाइल को सहेज सकते हैं:

<%@ Page Language="VB" AutoEventWireup="true" %>

<%@ Import Namespace="System.Security.Cryptography" %>

<%@ Import Namespace="System.Threading" %>



< script runat ="server" >

Sub Page_Load()

Dim delay As Byte() = New Byte(0) {}

Dim prng As RandomNumberGenerator = New RNGCryptoServiceProvider()



prng.GetBytes(delay)

Thread.Sleep(CType(delay(0), Integer))



Dim disposable As IDisposable = TryCast(prng, IDisposable)

If Not disposable Is Nothing Then

disposable.Dispose()

End If

End Sub

</ script >



< html >

< head runat ="server" >

< title > Error </ title >

</ head >

< body >

< div >

Sorry - an error occured

</ div >

</ body >

</ html >



* This source code was highlighted with Source Code Highlighter .

C # के लिए संस्करण



नीचे C # के लिए Error.aspx फ़ाइल का संस्करण है जिसे आप उपयोग कर सकते हैं और जिसमें थोड़ा यादृच्छिक विलंब है। आपको इस कोड को एप्लिकेशन में संकलित करने की आवश्यकता नहीं है, वैकल्पिक रूप से आप वेब सर्वर पर एप्लिकेशन निर्देशिका में Error.aspx फ़ाइल को सहेज सकते हैं:

<%@ Page Language="C#" AutoEventWireup="true" %>

<%@ Import Namespace="System.Security.Cryptography" %>

<%@ Import Namespace="System.Threading" %>



< script runat ="server" >

void Page_Load() {

byte [] delay = new byte [1];

RandomNumberGenerator prng = new RNGCryptoServiceProvider();



prng.GetBytes(delay);

Thread.Sleep(( int )delay[0]);



IDisposable disposable = prng as IDisposable;

if (disposable != null ) { disposable.Dispose(); }

}

</ script >



< html >

< head runat ="server" >

< title > Error </ title >

</ head >

< body >

< div >

An error occurred while processing your request.

</ div >

</ body >

</ html >



* This source code was highlighted with Source Code Highlighter .

कैसे सत्यापित करें कि एक वर्कअराउंड काम करता है



उपरोक्त वर्कअराउंड लागू करने के बाद, आप सत्यापित कर सकते हैं कि <customErrors> अनुभाग आपकी साइट से इस तरह से URL का अनुरोध करके सही ढंग से कॉन्फ़िगर किया गया है: mysite.com/pagethatdoesnotexist.aspx



यदि आपको कस्टम त्रुटि पृष्ठ दिखाई देता है (क्योंकि आपके द्वारा अनुरोधित फ़ाइल मौजूद नहीं है) तो आपका कॉन्फ़िगरेशन सही ढंग से सेटअप होना चाहिए। यदि आप एक मानक ASP.NET त्रुटि देखते हैं तो यह संभव है कि आप ऊपर दिए गए किसी एक चरण से चूक गए हों। समस्या का कारण क्या हो सकता है, इसके बारे में अधिक जानकारी देखने के लिए, आप <customErrors मोड = "रिमोटऑनली" /> को सेट करने का प्रयास कर सकते हैं - जो आपको स्थानीय ब्राउज़र से साइट से कनेक्ट होने पर त्रुटि संदेश देखने में सक्षम करेगा।



किसी सर्वर पर असुरक्षित ASP.NET अनुप्रयोग कैसे खोजें



हमने एक .vbs स्क्रिप्ट प्रकाशित की है जिसे आप यह निर्धारित करने के लिए अपने वेब सर्वर पर सहेज सकते हैं और चला सकते हैं कि क्या ASP.NET एप्लिकेशन इंस्टॉल किए गए हैं जो एक सेक्शन डिसेबल हैं या जो स्टेटस कोड द्वारा एरर मैसेज को अलग करते हैं।



आप .vbs स्क्रिप्ट यहाँ से डाउनलोड कर सकते हैं । बस स्क्रिप्ट को "DetectCustomErrors.vbs" नामक एक पाठ फ़ाइल में कॉपी / पेस्ट करें और इसे डिस्क पर सहेजें। फिर एक कमांड प्रॉम्प्ट विंडो खोलें जो व्यवस्थापक के रूप में चलती है और स्थानीय वेब सर्वर पर इस स्क्रिप्ट को चलाने के लिए "cscript DetectCustomErrors.vbs" चलाती है। यह वेब सर्वर पर सभी अनुप्रयोगों को देखेगा और जांच करेगा कि क्या सही <customErrors> कॉन्फ़िगरेशन निर्दिष्ट है।







स्क्रिप्ट प्रत्येक एप्लिकेशन को चिह्नित करेगी जो यह पता लगाती है कि web.config फ़ाइल में <customErrors> अनुभाग नहीं है (जिस स्थिति में आपको इसे जोड़ने की आवश्यकता है) या यह भेद्यता को बंद करने के लिए वर्कअराउंड की पेशकश करने के लिए सही तरीके से कॉन्फ़िगर नहीं किया गया है (जिस स्थिति में आपको अपडेट करने की आवश्यकता है उसके)। स्क्रिप्ट प्रत्येक एप्लिकेशन की वेब.कॉन्फ़िग फ़ाइल के लिए "ओके" आउटपुट करेगी, जिसे सही तरीके से कॉन्फ़िगर किया गया है। हम आशा करते हैं कि इससे त्रुटियों के स्रोतों की खोज सुगम होगी।



नोट: हमने पिछले कुछ घंटों में इस परिभाषित परिदृश्य को विकसित किया है और भविष्य में इसे और बेहतर बनाएंगे। जब भी हम इसमें बदलाव करेंगे, मैं इस अनुभाग को अपडेट करूंगा।



इस भेद्यता के बारे में अधिक जानकारी कैसे प्राप्त करें



आप निम्न स्रोतों से इस भेद्यता के बारे में अधिक जान सकते हैं:

• Microsoft सुरक्षा सलाहकार 2416728
• ASP.NET भेद्यता को समझना
• Microsoft सुरक्षा प्रतिक्रिया केंद्र ब्लॉग पोस्ट

सवालों के लिए मंच



हमने इस भेद्यता के बारे में सवालों के जवाब देने में मदद करने के लिए www.asp.net पर एक अलग फोरम स्थापित किया।



कमजोरियों पर पूछने और सहायता प्राप्त करने के लिए यहां प्रश्न पोस्ट करें ।



निष्कर्ष



हम और अधिक विवरण प्रकाशित करेंगे, क्योंकि हम और अधिक सीखेंगे, और एक पैच भी जारी करेंगे जिसका उपयोग समस्या के बहुत कारण को ठीक करने के लिए किया जा सकता है (और अब ऊपर वर्णित वर्कअराउंड का उपयोग नहीं किया जाएगा)।



इस बिंदु तक, कृपया घुसपैठियों द्वारा भेद्यता के शोषण से बचने के लिए अपने सभी ASP.NET अनुप्रयोगों के ऊपर उल्लिखित वर्कअराउंड लागू करें।



आपका धन्यवाद



स्कॉट