【IT168 技术文档】前几天的一个安全会议上公布了一个ASP.NET中的安全隐患(在1.0至4.0的版本中均存在)，黑客可以使用这个隐患获取到网站的web.config文件(往往保存了一些敏感信息，如数据库连接字符串等)以及获取ViewState中的加密信息。
园子里对这个安全漏洞有相关的讨论详解ASP.NET的最新安全漏洞，Padding Oracle攻击原理及其他，下面我使用工具演示一下Padding Oracle攻击检查博客园的设置情况：
这说明博客园存在Padding Oracle攻击的漏洞，请博客园团队尽快按照采取行动。
在微软没有推出解决方案之前，基本上可以按照scottgu的文章中给出的临时解决方法进行设置，相信微软将有一个安全修补程序可以部署到解决这个正确，使网站恢复到以前的customErrors设置：
以下内容摘自Scottgu博客的文章：Important: ASP.NET Security Vulnerability。
如果您使用的是ASP.NET 1.0，ASP.NET 1.1，ASP.NET 2.0，ASP.NET 3.5，那么你应该按照以下步骤，启用<customErrors />
1)编辑你的ASP.NET应用程序的根Web.config文件。如果文件不存在，则在应用程序的根目录之一创建一个。
2)创建或修改web.config的配置节 <customErrors />
3)你再添加一个独立的 error.html文件到应用程序，其中包含你选择你喜欢的任何内容包含(适当的错误页)。在Web应用程序中发生错误时使用该文件将显示错误。
<%@ Import Namespace="System.Security.Cryptography" %>
<%@ Import Namespace="System.Threading" %>
<script runat="server">
void Page_Load() {
byte[] delay = new byte[1];
RandomNumberGenerator prng = new RNGCryptoServiceProvider();
prng.GetBytes(delay);
Thread.Sleep((int)delay[0]);
IDisposable disposable = prng as IDisposable;
if (disposable != null) { disposable.Dispose(); }
}
</script>
<html>
<head runat="server">
<title>Error</title>
</head>
<body>
<div>
An error occurred while processing your request.
</div>
</body>
</html>
注意：要将上面的customErrors设置“on”，而且所有的错误页的默认跳转到默认错误处理的页面。不设置任何每个状态代码定义的错误页面--这意味着<customErrors />
如果您使用的是ASP.NET 3.5 SP1或ASP.NET 4.0，那么你应该按照以下步骤，，启用<customErrors />
1)编辑你的ASP.NET应用程序的根Web.config文件。如果文件不存在，则在应用程序的根目录之一创建一个。
2) Create or modify the <customErrors />
注意要将redirectMode设置为ResponseRewrite.3)你再添加一个Error.aspx到应用程序，其中包含你选择你喜欢的任何内容包含(适当的错误页)。在Web应用程序中发生错误时使用该文件将显示错误。
注意：我们强烈建议您阅读Microsoft 的顾问 http://www.microsoft.com/technet/security/advisory/2416728.mspx ，进一步的细节请阅读Scottgu的博客 http://weblogs.asp.net/scottgu/archive/2010/09/18/important-asp-net-security-vulnerability.aspx和文章中给出的error.aspx页例子。修改后，要记得重启IIS。
