Category: ASP.NET

ASP.NET 偵錯模式的資安議題

2023-08-02 10:53 PM

2,132

ASP.NET 老人們應該知道 web.config 有個 <compilation debug="true/false" /> 設定，啟用後網站會跑得比較慢，但能提供較多偵錯資訊，有利於開發測試。 ASP.NET 啟用偵錯模式(Debug Mode)後會出現以下行為...

SPA + ASP.NET Core Minimal API 練習 - 實作 Windows 登入與 CSRF 防護

2023-07-05 10:27 PM

3,023

ASP.NET Core Minimal API 在我的日常應用愈來愈廣泛，最近有個構想是前端寫成純 HTML (類 SPA 概念，但拆分多個 HTML 以簡化複雜度) 呼叫 Minimal API 完成作業，因為是內部系統，身分證驗部分就走 Windows 驗證用 AD 帳號登入。另外，雖然被攻擊...

解決 VS2022 無法偵錯 32 位元 Web Site Project 問題

2023-06-29 09:41 PM

1,375

Visual Studio 從 2022 起轉為 64 位元，4GB 封印解除，自此編輯測試時可以充分利用開發機記憶體，面對複雜專案也不用怕。不過，從 32 位元改為 64 位元有帶來一些後遺症，過去已經歷過：【笨問題】Visual Studio IIS Express 32/64 位元模式設...

ASP.NET MVC 防止 AJAX POST CSRF 攻擊

2023-06-12 09:20 PM

3,821

這篇談談 ASP.NET MVC + AJAX POST 程式如何防止 CSRF 攻擊。延伸閱讀：讓我們來談談 CSRF by huli 我寫了一個簡單的活動報名模擬頁面，Index.cshtml 如下： @{ Layout = null; } <!DOCTYPE html> ...

ASP.NET 讀取使用者登入帳號：User.Identity vs LogonUserIdentity

2023-05-25 10:24 PM

2,736

在 2023 討論 ASP.NET WebForm，有點像大家都在聊海拉魯，你卻在研究瑪俐歐要怎麼救公主，邊緣感十足。但這個茶包讓我踩了好幾次雷，想想還是寫一篇紀念一下。要在 ASP.NET 取得登入網站的使用者帳號，我們有不少舊程式是用 Request.LogonUserIdentity.Nam...

為 ASP.NET 加入自訂 PRTG 指標

2023-05-23 11:21 PM

2,204

PRTG (Paessler Router Traffic Grapher) 是德國 Paessler 公司開發的 Windows 網路監控軟體，提供友善易用的圖表介面，可用來監控各式網路設備，如路由器、交換機、防火牆、伺服器等，同時也能監控各種應用和服務，如網站、資料庫、郵件伺服器等。監控指標涵...

【茶包射手日記】 VS2022 編譯 Web Site Project 發生「未將物件參考設定為物件執行個體」錯誤

2022-10-26 09:09 PM

1,567

紀念花了我一個半小時的茶包。某個古蹟 ASP.NET Web Site 專案，使用 IIS 測試 OK，在 VS2022 按 F5 Debug 時卻編譯不過，噴出 Build (web): 並未將物件參考設定為物件的執行個體。/Object reference not set to an inst...

子目錄 web.config 修改後會立即生效？會導致 AppPool 重啟嗎？

2022-09-02 11:12 PM

3,710

ASP.NET/IIS 用了 20 年 (ASP.NET 1.0 誕生於 2002 年 1 月，到今年 20 歲了)，仍有不少我不確定答案的疑惑。我們都知道，同一網站的 web.config 有繼承關係，網站根目錄 /wwwroot/web.config 設定套用全站，/wwwroot/subdi...

ASP.NET 小技巧 - 非公開網站隱身術

2022-08-29 11:34 PM

6,180

上回介紹 IP 界的 Whoscall - AbuseIPDB 時有提到，網站只要掛上 Internet 就一定會被機器人騷擾，跑來網站東看西看，找漏洞鑽。這堆機器人有些屬亂槍打鳥，走海巡路線，先試探網站是否有回應，若有就用常見攻擊手法掃一輪，找到漏洞就算賺到，沒掃到就浪費幾個封包。如果網站本身沒有...

【茶包射手日記】Cookie 名稱能不能用 $ 起首？

2022-08-03 08:35 PM

1,340

見識不夠，踩到一個 ASP.NET Cookie 命名地雷。在某個 ASP.NET 專案用 Response.Cookies.Add() 新增名為 "$myCookie" 的 HttpCookie，之後用 Request.Cookies["$myCookie"...

【茶包射手日記】ASP.NET 改用 Form 驗證反而引發 AD 登入錯誤

2022-07-06 10:30 PM

1,751

遇到近年來數一數二的吊詭茶包。有個 ASP.NET 測試網站近日由 Windows 整合驗證改為 Forms 驗證，卻在使用者瀏覽網頁時噴出大量 4625 登入失敗事件觸發警報。測試網站屬於另測試網域，用來登入帳號則是當時操作者本機的正式網域帳號，這行為似曾相似，在 AD Domain Contr...

奇技淫巧 - ASP.NET 同時支援 Form 及 Windows 驗證

2022-05-28 11:14 AM

4,601

跟同事討論到 ASP.NET/IIS 有沒可能同時支援 Windows 驗證跟 Form 驗證？依我的理解，每個 Web Application 只能二者擇一，要嘛走 Windows 驗證、要嘛用 Form 驗證。討論到後來，我對自己發出靈魂拷問：ASP.NET 應用程式真的沒辦法做到使用 Form...

ASP.NET 古蹟維護 - 共享 .aspx.cs CodeFile 檔案

2022-02-25 11:13 PM

2,212

介紹一則維護上古 ASP.NET Web Site Project的實用技巧 - 讓兩個 aspx 共享一個 aspx.cs (CodeFile) 檔案。對企業來說，靠著 Edge IE Mode 續命，IE 的 EOS 大限可以拖到 2029，但基於別把重要的事拖到重要又緊急，早早將 IE On...

ASP.NET Form 驗證 ASPXAUTH Cookie 行為深入觀察

2022-02-16 09:38 PM

2,484

ASP.NET Form 驗證靠 .ASPXAUTH Cookie 識別身分，它是一段用 Machine Key 加密並簽名的內容，包含身份識別、有效期限等資訊。這段機制在 WebForm 與 ASP.NET MVC 是共用的，因此設定相同的 Machine Key，ASP.NET WebForm ...

ASP.NET 實戰手札：重啟網站才能解決的 TypeInitializationException 錯誤

2021-12-24 09:09 PM

3,185

這是開發 ASP.NET 網站可能遇到的問題：當類別的靜態建構式、靜態欄位初始化出錯，將導致 TypeInitializationException 「'XXXX' 的類型初始設定式發生例外狀況。 The type initializer for 'XXXX' threw an exception....

在 ASP.NET 用 Server-Sent Events 實現即時廣播

2021-12-09 10:30 PM

5,695

Server-Sent Events 算是蠻古老的技術，可實現伺服器端對瀏覽器的單向串流傳輸，目前除了 IE，所有瀏覽器都支援。但提到網站串流傳輸，不是已經有 WebSocket、SignalR 了，Server-Sent Events 還有實用價值嗎？有! 如果是伺服器對瀏覽器的單向串流傳輸，S...