Chia sẻ và cập nhật về Software Development http://vndevpro.github.io <p>Làm thế nào để ngăn chặn XSS attack trong ứng dụng trên nền tảng ASP.NET ? ASP.NET cung cấp sẵn những khả năng này và chúng ta có thể tùy biến nó theo yêu cầu của ứng dụng. Bài viết này giới thiệu các steps đảm bảo input từ người dùng là an toàn cho ứng dụng.</p> <h2 id="giao-diện-nhập-cơ-bản">Giao diện nhập cơ bản</h2> <p>Trong form này có 2 trường cơ bản, một trường <code class="language-plaintext highlighter-rouge">Message</code> cho phép nhập freetext, và một trường số. Khi <code class="language-plaintext highlighter-rouge">Message</code> không chứa mã HTML, form như sau:</p> <p><img src="/images/posts/xss/normal-input.png" alt="_config.yml" /></p> <h2 id="nhập-message-có-mã-html">Nhập Message có mã HTML</h2> <p>Giả sử yêu cầu của ứng dụng là cho phép user nhập “rich text”, ví dụ:</p> <p><img src="/images/posts/xss/html-input-allowhtml.png" alt="_config.yml" /></p> <p>ASP.NET kiểm tra dữ nhiệu submit lên server và blocks request</p> <p><img src="/images/posts/xss/html-submit-exception.png" alt="_config.yml" /></p> <h2 id="tùy-biến-để-cho-phép-server-chấp-nhận-rich-text-html">Tùy biến để cho phép server chấp nhận rich text HTML</h2> <p>Có 2 lựa chọn cho phép làm việc này: sử dụng attribute <code class="language-plaintext highlighter-rouge">AllowHtml</code> hoặc <code class="language-plaintext highlighter-rouge">ValidationInput</code>, nhưng lựa chọn #2 sẽ turn-off validation trên server. Vì vậy nên lựa chọn <code class="language-plaintext highlighter-rouge">AllowHtml</code> trong nhiều trường hợp có hiệu quả hơn. <a href="https://github.com/vndevpro/mvc-xss/commit/fa82bf31ddcc8c9fd4d12d7d026177f6a1fe759e">(xem thay đổi)</a></p> <div class="language-plaintext highlighter-rouge"><div class="highlight"><pre class="highlight"><code>[AllowHtml] public string Message { get; set; } </code></pre></div></div> <p>Kết quả sẽ là</p> <p><img src="/images/posts/xss/html-input-allowhtml.png" alt="_config.yml" /></p> <h2 id="khả-năng-bị-tấn-công-xss">Khả năng bị tấn công XSS</h2> <p>Việc cho phép mã JavaScript được nhập vào ứng dụng có nguy cơ bị tấn công XSS.</p> <p>Trên Chrome V45, trình duyệt hiểu và ngăn chặn được nguy cơ này.</p> <p><img src="/images/posts/xss/chrome(version45)-protect-us.png" alt="_config.yml" /></p> <p>Nhưng trên các trình duyệt khác thì không. Hơn nữa ứng dụng phía server cần xử lý được rủi ro này</p> <p><img src="/images/posts/xss/firefox-doesnt-protect-us.png" alt="_config.yml" /></p> <h2 id="xử-lý-trên-server">Xử lý trên server</h2> <h3 id="solution-1">Solution 1</h3> <p>Việc xử lý thực hiện trên từng trường dữ liệu có nguy cơ bị XSS</p> <ol> <li> <p>Cài Package <a href="https://www.nuget.org/packages/AntiXss/">AntiXSS</a> vào ứng dụng</p> </li> <li> <p>Gọi function xử lý trường nhập dữ liệu chứa mã HTML, các thẻ HTML không an toàn sẽ bị loại bỏ. <a href="https://github.com/vndevpro/mvc-xss/commit/170d81324b46e47ca3d67852060d40396716ebf0?diff=unified">(xem thay đổi)</a></p> </li> </ol> <div class="language-plaintext highlighter-rouge"><div class="highlight"><pre class="highlight"><code>var safeHtml = Sanitizer.GetSafeHtmlFragment(item.Message); </code></pre></div></div> <p><img src="/images/posts/xss/safe-html.png" alt="_config.yml" /></p> <h3 id="solution-2">Solution 2</h3> <p>Xử lý một cách tự động thông qua một ModelBinder</p> <ol> <li> <p>Cài package <a href="https://www.nuget.org/packages/RabbitWebMvc/">RabbitWebMvc</a> vào ứng dụng</p> </li> <li> <p>Sử dụng <code class="language-plaintext highlighter-rouge">DefaultBinder</code> là <code class="language-plaintext highlighter-rouge">SafeHtmlModelBinder</code></p> </li> </ol> <div class="language-plaintext highlighter-rouge"><div class="highlight"><pre class="highlight"><code>ModelBinders.Binders.DefaultBinder = new SafeHtmlModelBinder(); </code></pre></div></div> <h2 id="references">References</h2> <ul> <li><a href="http://lockmedown.com/preventing-xss-in-asp-net-made-easy/">Preventing XSS in ASP.NET Made Easy</a></li> <li><a href="https://www.owasp.org/index.php/Category:OWASP_AntiSamy_Project_.NET">OWASP AntiSamy Project .NET</a></li> </ul> Mon, 19 Oct 2015 00:00:00 +0000 http://vndevpro.github.io/Prevent-xss-aspnet/ http://vndevpro.github.io/Prevent-xss-aspnet/ <p>Bài viết này sẽ chia sẻ thông tin các bài viết về DDD, các bạn nên xem phản hồi của cá nhân mình để tham khảo lựa chọn nên đọc bài viết / sách nào trước.</p> <p>##1. <a href="https://vaughnvernon.co/?p=879">Modeling Aggregates with DDD and Entity Framework</a></p> <p>Bài viết có chứa nhiều links khác nêu chi tiết về mỗi định nghĩa, quy tắc khi thiết kế theo DDD.</p> <h2 id="references">References</h2> Thu, 13 Aug 2015 00:00:00 +0000 http://vndevpro.github.io/DDD-resources/ http://vndevpro.github.io/DDD-resources/ <p>Tăng tốc độ load của page, giảm tải &amp; băng thông cho server, giảm số concurrent reuqests đến server là một số benifits của việc dùng CDN cho script, css, image…</p> <p>##Lợi ích khi sử dụng CDN</p> <ul> <li>Tăng tốc độ load của page, vì CDN được sử dụng bởi nhiều website nên có thể browser đã cache file và không phải tải lại.</li> <li>Giảm tải &amp; băng thông cho server của ứng dụng.</li> <li>Giảm số concurrent reuqests đến server, trình duyệt giới hạn số kết nối đồng thời đến một hostname là 6 hoặc 7, request khác được xử lý nhanh hơn.</li> </ul> <p>##Coding với ASP.NET MVC</p> <p>Khi add thêm một bundle, thêm url của CDN và ASP.NET Bundle sẽ sử dụng url này để reference khi website được config sang chế độ production (</p> <p><img src="/images/posts/cdn-code-01.png" alt="_config.yml" /></p> <p><img src="/images/posts/cdn-code-02.png" alt="_config.yml" /></p> <h2 id="references">References</h2> <ol> <li>http://www.asp.net/ajax/cdn</li> <li>http://www.dotnetjalps.com/2014/07/cdn-in-aspnet-mvc-bundling.html</li> <li>http://www.hanselman.com/blog/CDNsFailButYourScriptsDontHaveToFallbackFromCDNToLocalJQuery.aspx</li> </ol> Thu, 06 Aug 2015 00:00:00 +0000 http://vndevpro.github.io/Using-cdn/ http://vndevpro.github.io/Using-cdn/ <p>Trong trường hợp cần xóa nhiều folder theo một pattern nào đó, với cấu trúc folder phức tạp, có thể dùng cách sau để xóa nhanh.</p> <div class="language-plaintext highlighter-rouge"><div class="highlight"><pre class="highlight"><code>D:\Build&gt;for /d /r . %d in (bin\release) do @if exist "%d" rd /s/q "%d" </code></pre></div></div> <ul> <li> <p>Tham số <code class="language-plaintext highlighter-rouge">bin\release</code> : pattern của thư mục cần xóa.</p> </li> <li> <p>Dấu <code class="language-plaintext highlighter-rouge">.</code> sau <code class="language-plaintext highlighter-rouge">/d /r</code> : thư mục hiện tại.</p> </li> </ul> <h2 id="references"><em>References</em></h2> <ol> <li><a href="http://stackoverflow.com/questions/521382/command-line-tool-to-delete-folder-with-a-specified-name-recursively-in-windows">A question on SO</a></li> </ol> Mon, 03 Aug 2015 00:00:00 +0000 http://vndevpro.github.io/Cleanup-commands/ http://vndevpro.github.io/Cleanup-commands/ <p>Một số cú pháp cơ bản của markdown: tạo list, format chữ, chèn ảnh…</p> <h1 id="hiển-thị-một-danh-sách">Hiển thị một danh sách</h1> <p><img src="/images/posts/markdown-list.png" alt="_config.yml" /></p> <h1 id="format-chữ">Format chữ</h1> <p><img src="/images/posts/markdown-formatting.png" alt="_config.yml" /></p> <h1 id="tạo-hyperlink">Tạo hyperlink</h1> <p><img src="/images/posts/markdown-link.png" alt="_config.yml" /></p> <h1 id="tạo-blockquote">Tạo blockquote</h1> <p><img src="/images/posts/markdown-highlight.png" alt="_config.yml" /></p> <p>For detail, <a href="https://github.com/adam-p/markdown-here/wiki/Markdown-Cheatsheet">go there</a></p> <h1 id="tạo-ảnh--link">Tạo ảnh &amp; link</h1> <p><img src="/images/posts/markdown-img-link.png" alt="_config.yml" /></p> <p>Hiển thị sẽ là:</p> <p><a href="http://manage.digistar.vn/aff.php?aff=432"><img src="https://www.digistar.vn/wp-content/uploads/2015/03/CLOUD-HOSTING-320x50.png?e631d1" alt="* Cloud hosting" /></a></p> <p><a href="https://www.cloudrino.net/?ref=4840"><img src="https://raw.githubusercontent.com/netvietdev/aspnetmvc4-minimal/master/images/free-cloud-server.jpg" alt="* Free Cloud Server" /></a></p> <h2 id="references">References</h2> <ol> <li><a href="http://meta.stackexchange.com/questions/2133/whats-the-recommended-syntax-for-an-image-with-a-link">What’s the recommended syntax for an image with a link?</a></li> <li><a href="https://guides.github.com/features/mastering-markdown/">Mastering Markdown</a></li> </ol> Thu, 30 Jul 2015 00:00:00 +0000 http://vndevpro.github.io/How-to-use-Markdown/ http://vndevpro.github.io/How-to-use-Markdown/