Frame di sicurezza: Gestione delle eccezioni | Mitigazioni

WCF- Non includere il nodo serviceDebug nel file di configurazione

Esempio

Il file di configurazione seguente include il <serviceDebug> tag :

<configuration> 
<system.serviceModel> 
<behaviors> 
<serviceBehaviors> 
<behavior name=""MyServiceBehavior""> 
<serviceDebug includeExceptionDetailInFaults=""True"" httpHelpPageEnabled=""True""/> 
... 

Disabilitare le informazioni di debug nel servizio. A tale scopo, è possibile rimuovere il <serviceDebug> tag dal file di configurazione dell'applicazione.

WCF- Non includere il nodo serviceMetadata nel file di configurazione

Assicurarsi che la gestione corretta delle eccezioni venga eseguita in ASP.NET Web API

Esempio

Per controllare il codice di stato restituito dall'API, HttpResponseException è possibile usare come illustrato di seguito:

public Product GetProduct(int id)
{
    Product item = repository.Get(id);
    if (item == null)
    {
        throw new HttpResponseException(HttpStatusCode.NotFound);
    }
    return item;
}

Esempio

Per un ulteriore controllo sulla risposta all'eccezione, la HttpResponseMessage classe può essere usata come illustrato di seguito:

public Product GetProduct(int id)
{
    Product item = repository.Get(id);
    if (item == null)
    {
        var resp = new HttpResponseMessage(HttpStatusCode.NotFound)
        {
            Content = new StringContent(string.Format("No product with ID = {0}", id)),
            ReasonPhrase = "Product ID Not Found"
        }
        throw new HttpResponseException(resp);
    }
    return item;
}

Per intercettare eccezioni non gestite che non sono di tipo HttpResponseException, è possibile usare filtri eccezioni. I filtri di eccezione implementano l'interfaccia System.Web.Http.Filters.IExceptionFilter. Il modo più semplice per scrivere un filtro di eccezione consiste nel derivare dalla System.Web.Http.Filters.ExceptionFilterAttribute classe ed eseguire l'override del metodo OnException.

Esempio

Ecco un filtro che converte le NotImplementedException eccezioni in codice 501, Not Implementeddi stato HTTP:

namespace ProductStore.Filters
{
    using System;
    using System.Net;
    using System.Net.Http;
    using System.Web.Http.Filters;

    public class NotImplExceptionFilterAttribute : ExceptionFilterAttribute 
    {
        public override void OnException(HttpActionExecutedContext context)
        {
            if (context.Exception is NotImplementedException)
            {
                context.Response = new HttpResponseMessage(HttpStatusCode.NotImplemented);
            }
        }
    }
}

Esistono diversi modi per registrare un filtro eccezioni api Web:

• Tramite un'azione
• Tramite un controller
• Globalmente

Esempio

Per applicare il filtro a un'azione specifica, aggiungere il filtro come attributo all'azione:

public class ProductsController : ApiController
{
    [NotImplExceptionFilter]
    public Contact GetContact(int id)
    {
        throw new NotImplementedException("This method is not implemented");
    }
}

Esempio

Per applicare il filtro a tutte le azioni di un controlleroggetto , aggiungere il filtro come attributo alla controller classe :

[NotImplExceptionFilter]
public class ProductsController : ApiController
{
    // ...
}

Esempio

Per applicare il filtro a livello globale a tutti i controller API Web, aggiungere un'istanza del filtro alla GlobalConfiguration.Configuration.Filters raccolta. I filtri di eccezione in questa raccolta si applicano a qualsiasi azione del controller dell'API Web.

GlobalConfiguration.Configuration.Filters.Add(
    new ProductStore.NotImplExceptionFilterAttribute());

Esempio

Per la convalida del modello, lo stato del modello può essere passato al metodo CreateErrorResponse, come illustrato di seguito:

public HttpResponseMessage PostProduct(Product item)
{
    if (!ModelState.IsValid)
    {
        return Request.CreateErrorResponse(HttpStatusCode.BadRequest, ModelState);
    }
    // Implementation not shown...
}

Controllare i collegamenti nella sezione riferimenti per altri dettagli sulla gestione eccezionale e la convalida del modello in ASP.NET Web API

Non esporre i dettagli di sicurezza nei messaggi di errore

Implementare la pagina di gestione degli errori predefinita

Impostare il metodo di distribuzione per la vendita al dettaglio in IIS

Le eccezioni devono avere esito negativo in modo sicuro

Esempio

        public static bool ValidateDomain(string pathToValidate, Uri currentUrl)
        {
            try
            {
                if (!string.IsNullOrWhiteSpace(pathToValidate))
                {
                    var domain = RetrieveDomain(currentUrl);
                    var replyPath = new Uri(pathToValidate);
                    var replyDomain = RetrieveDomain(replyPath);

                    if (string.Compare(domain, replyDomain, StringComparison.OrdinalIgnoreCase) != 0)
                    {
                        //// Adding additional check to enable CMS urls if they are not hosted on same domain.
                        if (!string.IsNullOrWhiteSpace(Utilities.CmsBase))
                        {
                            var cmsDomain = RetrieveDomain(new Uri(Utilities.Base.Trim()));
                            if (string.Compare(cmDomain, replyDomain, StringComparison.OrdinalIgnoreCase) != 0)
                            {
                                return false;
                            }
                            else
                            {
                                return true;
                            }
                        }

                        return false;
                    }
                }

                return true;
            }
            catch (UriFormatException ex)
            {
                LogHelper.LogException("Utilities:ValidateDomain", ex);
                return true;
            }
        }

Il metodo precedente restituirà sempre True, se si verifica un'eccezione. Se l'utente finale fornisce un URL in formato non valido, che il browser rispetta, ma il Uri() costruttore no, verrà lanciata un'eccezione e la vittima verrà indirizzata all'URL valido ma in formato non valido.