假设你有一个只有两个页面的简单网站:login.aspx和secret.aspx。 你的网站是用ASP.net表单身份验证和login.aspx上的ASP.net登录服务器控件进行保护的。 具体内容如下:
- 该站点配置为使用SqlMembershipProvider。
- 该站点拒绝所有匿名用户。
- 禁用了Cookies。
显然,关于安全性有许多要考虑的因素,但我更关心的是与 .net 框架提供的零代码开箱即用体验相关的问题。
如果仅以此问题为例,攻击点仅限于login.aspx中的用户名/密码文本框,那么黑客能否注入代码以获得访问我们secret.aspx页面的权限?
Microsoft提供的零代码开箱即用体验有多安全?