Um eine Cross-Site-Request-Forgery (CSRF) zu vermeiden, können Sie für Ihre ASP.NET-Session-Cookies das Same-site-Attribut setzen.
Um das Same-site-Attribut für alle .NET-Versionen ab 4.8 zu setzen
Öffnen Sie die Konfigurationsdatei web.config der gewünschten Webanwendung.
Fügen Sie folgenden Code-Schnipsel innerhalb des Abschnitts <configuration> ein:
<system.web>
<httpCookies sameSite="Strict" />
</system.web>
Speichern Sie die Datei.
Um zu verhindern, dass Cookies von Unbefugten ausgelesen werden können, können Sie das sogenannte "Secure"-Attribut für Ihre ASP.NET-Session-Cookies setzen. Dadurch werden Cookies nur noch über gesicherte SSL-Verbindungen übertragen.
Um das "Secure"-Attribut für die ASP.NET-Session-Cookies zu setzen
Öffnen Sie die Konfigurationsdatei web.config der gewünschten Webanwendung.
Fügen Sie folgenden Code-Schnipsel innerhalb des Abschnitts <configuration> ein:
<system.web>
<httpCookies requireSSL="true"/>
</system.web>
Speichern Sie die Datei.
Der URL-Parser in den Microsoft Internet Information Services (IIS) ermöglicht einem Remote-Angreifer, Datei- und Ordnernamen der Webanwendungen (die nicht zugänglich sein sollen) durch Verwenden der IIS-8.3-Kurznamen offen zu legen.
Die Ausnutzung dieser Schwachstelle kann dazu führen, dass Dateien mit sensiblen Informationen wie Anmeldeinformationen, Konfigurationsdateien, Wartungsskripte und anderen Daten weitergegeben werden.
Um dies zu verhindern, können Sie die Erstellung von Kurznamen in Windows IIS 8.3 deaktivieren.
Um die Erstellung von Windows-IIS-8.3-Kurznamen zu deaktivieren
Auf dem System, auf dem die Webanwendung installiert ist, erstellen Sie den folgenden Registry-Eintrag:
Pfad: HKLM\SYSTEM\CurrentControlSet\Control\FileSystem
Name: NtfsDisable8dot3NameCreation
Wert: 1
Führen Sie eine Neuinstallation der Webanwendung durch.
Angreifer können viele Informationen über Ihren Server und Ihr Netzwerk erhalten, indem sie sich die Response-Header ansehen, die Ihr Webserver zurückgibt.
Um Angreifern so wenig Informationen wie möglich zu geben, können Sie die HTTP-Response-Header in Windows IIS entfernen.
Um die HTTP-Response-Header in WindowsIIS zu entfernen
Lesen Sie die Anweisungen unter folgenden Links:
© ALL RIGHTS RESERVED. Nutzungsbedingungen Datenschutz Cookie Preference Center