ASP.NET 偵錯模式的資安議題
0 | 2,966 |
ASP.NET 老人們應該知道 web.config 有個 <compilation debug="true/false" />
設定,啟用後網站會跑得比較慢,但能提供較多偵錯資訊,有利於開發測試。
ASP.NET 啟用偵錯模式(Debug Mode)後會出現以下行為差異:
- 程式碼因啟用偵錯路徑執行變慢
- 編譯因產生偵錯資訊(如 .pdb)耗費較多時間,而在執行期間也會佔用較多記憶體 參考
- 執行逾時會延長至 30,000,000 秒 (噗,347 天,不知有沒有人等到過)
- 透過 WebResource.axd 及 ScriptResource.axd 回傳的 Script 及圖檔不會被快取,每次都要重新下載
- 編譯最佳化將被停用
基於以上差異,一般建議在正式環境不要啟動偵錯模式,但主要都著眼怕拖累效能,例如:MS Learn 的 ASP.NET 部署注意事項也包含停用 ASP.NET 應用程式的偵錯,理是:在偵錯模式中編譯的應用程式可執行無誤,但應用程式的效能會受到影響。為了避免對效能造成影響,最好只在開發人員射茶包除錯階段才啟用偵錯。
今天學到新知識 - 從資安角度,網站啟動偵錯模式可能提高資安風險,而攻擊者可透過一些手法偵測 ASP.NET 網站是否啟用偵錯模式。
偵測方法是送出一個 HTTP 請求,指定特殊 HTTP 方法 DEBUG,並附上 Header Command: stop-debug
,若對方為 ASP.NET 站台且傳回 OK,即代表該網站已啟用偵錯模式。不少弱掃軟體都支援這段檢測,例如:Nessus、Nmap
我寫了一小段 PowerShell 模擬偵測動作,由於 Invoke-WebRequest 不支援 DEBUG 這類自訂 HTTP 方法 (要 PowerShell 7+ 才支援 -CustomMethod 參數,我改用 HttpWebRequest 實作:
$ErrorActionPreference = "Stop"
[Net.HttpWebRequest]$req = [Net.HttpWebRequest]::Create("http://localhost/aspnet")
$req.Method = "DEBUG"
$req.Headers.Add("Command", "stop-debug")
$resp = $req.GetResponse()
$sr = New-Object IO.StreamReader($resp.GetResponseStream())
$sr.ReadToEnd()
$sr.Close()
$resp.Close()
分別測試 debug="false" 及 "true",未啟用偵錯模式時會傳回 403,若啟用偵錯則會得到 OK 二字:
另外我也嘗試了 Command: start-debug
得到 HTTP 401,依據查到的資料,這會用於 Visual Studio Attach to Process 偵錯,需要切換成系統管理者身分執行,Debugger 會以 RPC 與 ASP.NET 程序溝通而非 HTTP。
而啟用偵錯模式有什麼危害呢?查到一些說法如下:
HTTP Verbs and Their Security Risks by CYBERWHITE
- 網站因偵錯模式效能變差,DoS 攻擊時更容易得手。(註:DoS 要成功難度不高,應該沒差這點效能才對,但長達一年的 Timeout 是個好切入點沒錯)
- 真正的偵測功能 / API 需透過 RPC 呼叫,倒無法透過 HTTP 伸手。
- 偵錯模式可能導致透露過多系統訊息(例如:Stack Trace、程式碼片段... 等等),被攻擊者蒐集利用。(註:前題是未設定 customError 導致詳細錯誤訊息外洩)
Ensure 'debug' is turned off - Applications by Tenable (弱掃產品廠商)
著眼點也是在會讓惡意人士取得內部系統資訊。CVE-2021-35235
ASP.NET debugging enabled by PortSwigger
這兩則 CVE 寫得比較聳動,提到「若攻擊者能成功啟用偵錯 Session」將可取得有價值的資訊進行後續攻擊,但沒提出可攻擊途徑。(推敲要以成功破解存取身分認證為前題)Vulnerabilities / ASP.NET debugging enabled by Probely
指出可能洩露內部敏感資訊(程式碼片段、環境變數、安全金鑰... 等等),有利於發動後續攻擊。
【結論】
ASP.NET 偵錯模式主要的風險來自於偵錯資訊會造成程式碼片段、系統架構等內部資訊外流,對攻擊者進攻極具參考價值,但前題是未設 customError 隱藏詳細錯誤資訊(相較之下,這個漏洞更要命)。效能變差會增加 DoS 攻擊成功率的說法我不太買單,認為實現 DoS 本身不是難事,偵錯模式不至於是關鍵。
但話說回來,正式環境本來就該關閉偵錯模式以求效能最大化,實在沒什麼理由堅持開啟 debug="true",關閉為上。
Survey of security issues of ASP.NET debug mode.
Comments
Be the first to post a comment