ASP.NET контрольный список безопасности MVC

Существуют тонны хороших бумаг о разработке и разработке для безопасности (и даже набор сообщений на ТАК), но все они, кажется, концентрируются на том, что необходимо сделать.

То, что я после, однако, является think-like-a-hacker контрольным списком. Список простых действий, которые Вы должны для прохождения через, после того как Вы сделаны с разработкой, для проверки решения, безопасен.

(ОБНОВЛЕНИЕ: я главным образом интересуюсь контрольным списком черного ящика - "переходят к странице, пробуют это и что" вид вещей, но whitebox контрольный список мог бы представлять интерес также.)

Вот что-то, что я придумал до сих пор:

Контрольный список черного ящика безопасности

• Отправьте неправильные/злонамеренные данные (примеры здесь?) удостоверяться, которые вводят, проверено для типа, длины, формата и диапазона JavaScript.
• Выключите клиентскую проверку и повторите шаг выше, для проверки этого
  • Вы не только сверяетесь с JavaScript, но проверяете на стороне сервера также
  • вход проверен на сервере для типа, длины, формата и диапазона
  • вход свободной формы санирован
  • вывод, который включает вход, кодируется HtmlEncode и UrlEncode
• Вставьте чрезвычайно большой объем данных в строку запроса согласно http://www.example.com/foo?bar=HugeAmountOfData для проверки Вы ограничиваете исходные данные и делаете граничные проверки.
• Посетите действие POST через, ДОБИРАЮТСЯ, чтобы удостовериться, что "форма утверждает, что" действия ограничиваются для POST.
• Если применимо загрузите файл неправильного размера/формата (огромный файл, пустой файл, исполняемый файл с переименованным расширением, и т.д.), чтобы удостовериться, что загрузки обрабатываются корректно.
• (как проверить от UI?) гарантируют, что абсолютные URL используются для навигации.
• Получите доступ к URL как к пользователю без корректных полномочий, чтобы удостовериться, что полномочия явно тестируются через атрибуты действия/контроллера.
• Получите доступ к URL, предоставляющему несуществующую подробную информацию (как несуществующие идентификаторы продукта, объекты, у Вас нет доступа к, и т.д.) для проверки корректная ошибка (404 или 403 и т.д.) возвращается.
• Получите доступ к чувствительной странице через HTTP, чтобы удостовериться, что это доступно через HTTPS только.

Безопасность контрольный список Whitebox

Ярус веб-узлов.

• В режиме отладки взломайте код так, чтобы он выдал исключение, чтобы удостовериться, что он перестал работать надежно. Удостоверьтесь, что Вы ловите исключения, и журнал подробно изложил сообщения, но не пропускайте информацию клиенту.
• Если применимо удостоверьтесь действия MVC, ограничиваются на POST/получать только, конкретной пользовательской роли, чем-либо еще?.
• Удостоверьтесь, что действия POST сопровождаются с [ValidateAntiForgeryToken] атрибут для предотвращения нападений Подделки Запроса перекрестного Сайта.
• Удостовериться Response.Write (любой прямо или косвенно), никогда не используется для отображения ввода данных пользователем.
• Удостоверьтесь, что уязвимые данные не передаются в полях формы или строках запроса.
• Удостоверьтесь, что Ваши решения безопасности не полагаются на информацию о HTTP-заголовках.

Сервисный уровень.

• В режиме отладки взломайте код так, чтобы он выдал исключение, чтобы удостовериться, что он перестал работать надежно. Удостоверьтесь, что Вы ловите исключения, и журнал подробно изложил сообщения, но не пропускайте информацию клиенту.
• Удостоверьтесь, чтобы при обновлении чего-либо в базе данных Вы действовали в рамках транзакции.

Уровень базы данных.

• Удостоверьтесь, чтобы сохраненные procs извлечения не использовали SELECT * но всегда указывайте список столбцов явно.
• Удостоверьтесь, чтобы обновили/удалили сохраненный procs, работают в рамках транзакции (через @@TRANCOUNT, и т.д.), и явно фиксируют/откатывают его.

Комментарии? Исправления? Пропавшие без вести шагов?

При создании этого общественной Wiki не стесняйтесь редактировать столько, сколько Вам нравится.