Comment valider l'entrée utilisateur contient le code serveur côté serveur en utilisant C#

Question

J'ai un champ de recherche qui permet à certains caractères spéciaux (+, =, #. ', ") De taper et de rechercher, ici je dois valider l'entrée utilisateur contient tous les codes de serveur comme '' + System.Diagnostics.Process.Start (les "cmd.exe", "whoami") + '';) ..

Utilisez détails de cas: Un service WCF recueillir des idées JSON les données qui doivent être validées avant de les désérialiser pour éviter de créer un objet désérialisé.J'ai ajouté une validation personnalisée attribuée au contrat de service en utilisant IParameterInspector.Voici lors de la validation de chaque champs d'entrée dans l'événement beforecall je voudrais vérifier un champ comme code serveur ou non. attaque-Causes: Un- Les données JSON sérialisées aseptisées entraînent un déni de service d'application (DoS) solution: Le serveur doit valider et filtrer les données dans la requête JSON avant de les désérialiser.

Quelqu'un peut-il me dire comment interdire le code du serveur en ajoutant la validation pour les champs de saisie?

Answer 1

Si vous ne parvenez pas à vérifier l'entrée de l'utilisateur immédiatement après l'entrée utilisateur, vous pouvez ajouter un inspecteur de message côté client et/ou côté service qui vérifie le message avant le traitement de la requête sur le serveur.

Plus de détails sur le site officiel: https://docs.microsoft.com/en-us/dotnet/framework/wcf/extending/how-to-inspect-and-modify-messages-on-the-service

EDIT Vous pouvez spécifier un tableau avec des symboles qui ne sont pas autorisés et traiter uniquement le rquest si l'indice est, par exemple

if(input.IndexOfAny(new char[] { '+', '!', '\\', '&' })==-1) 
{ 
     ... 
} 

Vous pouvez également spécifier une liste de chaînes avec des mots ou seulement des symboles qui ne sont pas autorisés -à-dire

List<string> words = new List<string>(); 
words.Add("WhoAmI"); 
words.Add("&"); 
bool badWordDetected = words.Any(w => input.Contains(w)); 

Je recommande également de convertir l'entrée en majuscules ou inférieure, de sorte que le chèque peut être invariant de cas.