Protection ASP.NET Web Forms

Si vous hébergez un site ASP.NET sur IIS, le journal Application de Windows peut contenir de nombreuses erreurs "A potentially dangerous Request.Form value was detected". Des outils automatisés soumettent sans cesse du HTML indésirable, des scripts et des données mal formées à vos formulaires, consommant des ressources et générant de nombreuses erreurs de validation.

Un événement de validation de requête contient généralement les informations suivantes. Les détails du serveur et de l'application sont illustratifs ; la valeur soumise est omise :

Log Name:          Application
Source:            ASP.NET 4.0.30319.0
Event ID:          1309
Task Category:     Web Event
Level:             Warning
Keywords:          Classic
Computer:          WEB-SERVER

Description:
Event code:        3003
Event message:     A validation error has occurred.
Event detail code: 0

Application information:
    Trust level: Full
    Application Virtual Path: /
    Application Path: C:\inetpub\wwwroot\example.net\
    Machine name: WEB-SERVER

Process information:
    Process ID: 3276
    Process name: w3wp.exe
    Account name: IIS APPPOOL\ExampleAppPool

Exception information:
    Exception type: HttpRequestValidationException
    Exception message: A potentially dangerous Request.Form value was detected from the client (submitted value omitted).
   at System.Web.HttpRequest.ValidateString(String value, String collectionKey, RequestValidationSource requestCollection)
   at System.Web.HttpRequest.ValidateHttpValueCollection(HttpValueCollection collection, RequestValidationSource requestCollection)
   at System.Web.HttpRequest.get_Form()
   at System.Web.HttpRequest.get_HasForm()
   at System.Web.UI.Page.GetCollectionBasedOnMethod(Boolean dontReturnNull)
   at System.Web.UI.Page.DeterminePostBackMode()
   at System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
   ...

Request information:
    Request URL: https://example.net/index.aspx
    Request path: /index.aspx
    User host address: 5.136.158.160
    User:
    Is authenticated: False
    Authentication Type:
    Thread account name: IIS APPPOOL\ExampleAppPool

ASP.NET peut déjà rejeter ces requêtes, mais leur source peut continuer à en envoyer. Votre serveur consacre toujours du temps processeur, de la mémoire, de la bande passante et de l'espace journal à leur traitement. Ces sondages répétés rendent aussi les véritables erreurs applicatives plus difficiles à repérer parmi des milliers d'entrées similaires.

RdpGuard aide à arrêter cette activité répétitive. Il surveille les événements ASP.NET du journal Application, identifie les requêtes correspondant à ses règles et bloque temporairement l'adresse IP source lorsque le seuil configuré est atteint. Pendant le blocage, cette adresse ne peut plus envoyer de requêtes aux ports protégés du serveur.

Commencez avec les règles standard pour les erreurs de validation, ou adaptez la détection aux événements de vos applications. Vous pouvez régler le seuil et la durée de blocage, autoriser les adresses de confiance et recevoir une notification lorsqu'une IP est bloquée.

Une erreur de validation ne prouve pas à elle seule une attaque : un utilisateur légitime peut la déclencher en saisissant du HTML dans un formulaire. Examinez les événements de votre site et choisissez des règles adaptées aux données attendues. Maintenez ASP.NET et votre application à jour, avec une validation des entrées et un encodage des sorties appropriés.

Cette protection utilise les événements Windows générés par ASP.NET classique sur .NET Framework. Elle fonctionne avec HTTP et HTTPS puisqu'elle lit les événements journalisés. Elle nécessite une IP client dans l'événement et ne couvre pas automatiquement toutes les applications ASP.NET Core ni tous les types d'attaques web.

Activer et configurer la protection ASP.NET Web Forms - activer la surveillance, vérifier les événements et régler le blocage.

Règles de détection personnalisées pour ASP.NET Web Forms - filtrer les champs EventData et adapter la détection à votre application.