详解Asp.net web.config customErrors 如何设置

 更新时间:2018年02月13日 11:03:30   转载 作者:wolfy  
这篇文章主要介绍了详解Asp.net web.config customErrors 如何设置,小编觉得挺不错的,现在分享给大家,也给大家做个参考。一起跟随小编过来看看吧

摘要

customErrors也经常在开发部署中看到<customErrors mode="Off" />,设置这样可以在页面上看到详细的错误信息。但也为黑客提供了攻击的线索。

customErrors

该节点有三种可选的设置项

  1. On:服务器开发的最安全选项,因为它总是隐藏错误提示信息。
  2. RemoteOnly:向大多数用户展示一般的错误信息,但向拥有服务器访问权限的用户展示完整的错误提示信息。换句话说,仅向远程客户端端显示自定义错误,并向本地主机显示 ASP.NET 错误。默认值。
  3. Off:最容易受到攻击的选项,它向访问网站的每个用户展示详细的错误提示消息。

详细的错误信息可能会暴露应用程序的内部结构,比如如果写的sql语句中报错,可能会暴露数据表,以及sql语句,这是非常不安全的。在Off设置下的网站,黑客会不断的尝试,传递不同的参数,使你的网站出错,然后暴露你的应用程序的内部结构。

mode=Off

比如:

<system.web>
  <authentication mode="None" />
  <compilation debug="true" targetFramework="4.5" />
  <httpRuntime targetFramework="4.5" />
  <customErrors mode="Off" defaultRedirect="error">
  </customErrors>
 </system.web>

在TestAction中直接抛出一个异常,那么我们可以看到与下面类似的黄页

在黄页上面可以看到,页面对应逻辑的堆栈信息,进而暴露项目结构信息。非常的不安全。

那么如果是mode=Off,并且在事件Application_Error中记录并清除错误,会看到什么结果?

 protected void Application_Error(object sender, EventArgs e)
    {
      var context = HttpContext.Current;
      if (context != null)
      {

        Exception objErr = context.Server.GetLastError();
        if (objErr != null)
        {
          string err = "Error Caught in Application_Error event/n" + "Error in:" 
+ Request.Url.ToString() + "/nError Message:" + objErr.Message.ToString() +
       "/nStack Trace:" + objErr.StackTrace.ToString();
        、、、、、日志逻辑
          Server.ClearError(); 
        }
      }
    }
 <customErrors mode="Off" defaultRedirect="Error">   
 </customErrors>

defaultRedirect 指定发生错误时浏览器指向的默认 URL。如果没有指定 defaultRedirect,则会显示一般性错误。URL 既可以是绝对的(例如 http://www.***.com/ErrorPage.htm),也可以是相对的。相对 URL(如 /ErrorPage.htm)是相对于指定 defaultRedirect 的 Web.config 文件而言的,而不是针对产生错误的网页。以波形符 (~) 开头的 URL(如 ~/ErrorPage.htm)表示所指定的 URL 是相对于应用程序根路径而言的。

通过上面的操作,如果设置Off,并且在Application_Error事件中捕获异常,并 Server.ClearError(),那么如果报错,在前端页面就会看到空白的页面。

通过这个也可以说明,如果应用程序出错,先触发的Application_Error事件,ClearError之后,那么在页面上就看不到结果了。

mode=On

在设置On模式情况下,如果应用程序发生错误,会跳转到自定义的错误页,这里使用了defaultRedirect属性,并没有配置 <error statusCode="500" redirect="error"/>

mode=RemoteOnly

通过字面意思,仅仅远程,仅仅远程什么呢?可以看下例子。目前所在编码环境,通过vs调试状态,相对远程要访问的用户,可以将本机当做服务器。那么这就是本地,远程访问的浏览器就是Remote。

可以看到,在服务器端,访问仍然能看到黄页,也就是上面所说的ASP.NET错误。那么我们将站点部署在服务器,然后在本地访问会出现什么情况呢?

通过客户端访问服务器的url,则会跳转到默认的自定义错误页面。那么在服务器端又是什么情况呢?

说明: 仅向远程客户端端显示自定义错误,并向本地主机显示 ASP.NET 错误

 总结

所以,不要在生产环境中将customErrors关闭。 推荐开启RemoteOnly或者On并定义自定义的错误页面。

以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持脚本之家。

相关文章

  • asp.net 细说文件读写操作(读写锁)

    asp.net 细说文件读写操作(读写锁)

    开发过程中,我们玩玩需要大量与文件交互,读文件,写文件已成家常便饭,本地运行完美,但一上到投产环境,往往会出现很多令人措手不及的意外,或开发中的烦恼,因此,我对普通的C#文件操作做了一次总结
    2011-12-12
  • .Net中实现无限分类的2个例子

    .Net中实现无限分类的2个例子

    这篇文章主要介绍了.Net中实现无限分类的2个例子,本文直接给出实现代码,需要的朋友可以参考下
    2015-02-02
  • .NET 中的 常量字段const应用介绍

    .NET 中的 常量字段const应用介绍

    C#中,当使用常数符号const时,编译器首先从定义常数的模块的元数据中找出该符号,并直接取出常数的值,接下来详细介绍,感兴趣的朋友可以参考下
    2013-01-01
  • ASP.NET图片处理三类经典问题

    ASP.NET图片处理三类经典问题

    这篇文章主要介绍了ASP.NET图片处理三类经典问题,验证码的实现、给图片加文字,最后一个就是生成缩略图,感兴趣的小伙伴们可以参考一下
    2015-09-09
  • ASP.NET简单获取服务端和客户端计算机名称的方法

    ASP.NET简单获取服务端和客户端计算机名称的方法

    这篇文章主要介绍了ASP.NET简单获取服务端和客户端计算机名称的方法,涉及asp.net获取服务器端计算机名以及根据IP获取客户端主机名的相关技巧,需要的朋友可以参考下
    2016-08-08
  • ASP.NET中的C#基础知识

    ASP.NET中的C#基础知识

    本文主要介绍了ASP.NET中的C#基础知识。具有一定的参考价值,下面跟着小编一起来看下吧
    2017-01-01
  • ASP.Net MVC_DotNetZip简单使用方法,解决文件压缩的问题

    ASP.Net MVC_DotNetZip简单使用方法,解决文件压缩的问题

    下面小编就为大家带来一篇ASP.Net MVC_DotNetZip简单使用方法,解决文件压缩的问题。小编觉得挺不错的,现在就分享给大家,也给大家做个参考。一起跟随小编过来看看吧
    2016-06-06
  • 文本框中输入小写字母即时转换为大写实现思路

    文本框中输入小写字母即时转换为大写实现思路

    系统中有一个文本框,要求输入大写字母,只是用户不是那么配合所以只好在程序来控制了,感兴趣的朋友可以参考下哈
    2013-03-03
  • 实例讲解.NET中资源文件的创建与使用

    实例讲解.NET中资源文件的创建与使用

    资源文件顾名思义就是存放资源的文件。资源文件在程序设计中有着自身独特的优势,他独立于源程序,这样资源文件就可以被多个程序使用
    2011-12-12
  • Asp.Net实现404页面与301重定向的方法

    Asp.Net实现404页面与301重定向的方法

    这篇文章主要介绍了Asp.Net实现404页面与301重定向的方法,较为详细的分析了404页面的原理与针对404错误与301跳转的实现方法,是非常实用的技巧,需要的朋友可以参考下
    2014-11-11

最新评论