问题描述
我的 .NET 应用程序在通过渗透测试后存在暴露敏感数据的漏洞。我将使用以下简单的网络应用程序来说明我的问题。
应用程序获取值 - “秘密短语”并将其提交给服务器。
根据渗透测试结果显示：
影响
通过利用其他一些安全问题，攻击者可以访问来自 页面响应。例如，通过利用系统性跨站点脚本的存在，持久性 可以传递有效载荷，然后可以使用它从应用程序响应中抓取这些值。 然后可以使用此信息访问用户帐户，并可能用于执行 进一步的攻击。
证据
补救建议
在所有响应返回之前屏蔽或删除敏感数据，例如秘密答案 服务器。
我的应用程序已经处理了 XSS 预防攻击，我也强制使用 TLS 所以我对这个建议有些困惑：
这是否像我后面的代码一样简单，我确保在完成所有逻辑后将文本框值设置为空？如果是，是否有更快的方法来执行此操作，例如通过 Response 对象？
解决方法
Https 加密数据。 如果您必须使用 http，那么您需要使用公钥和私钥加密系统。
所以首先客户端向服务器请求公钥。 客户端然后用所述公钥加密数据。 没有只有服务器才有的私钥，数据是无法解密的。
您需要在服务器上有一个返回公钥的 get 请求处理程序。 您还需要一种方法来使用公钥加密客户端上的数据。 最后是服务器上处理发布请求和解密数据的函数。
这实际上是 https 的工作原理，因此您最好使用 https 在客户端和服务器之间创建安全连接： https://nodejs.org/api/https.html。 （假设您使用的是节点服务器）。
如果您有 https，则不需要加密，但如果您使用 http，则需要。