详解Asp.net web.config customErrors 如何设置

摘要

customErrors也经常在开发部署中看到<customErrors mode="Off" />，设置这样可以在页面上看到详细的错误信息。但也为黑客提供了攻击的线索。

customErrors

该节点有三种可选的设置项

  1. On：服务器开发的最安全选项，因为它总是隐藏错误提示信息。
  2. RemoteOnly：向大多数用户展示一般的错误信息，但向拥有服务器访问权限的用户展示完整的错误提示信息。换句话说，仅向远程客户端端显示自定义错误，并向本地主机显示 ASP.NET 错误。默认值。
  3. Off：最容易受到攻击的选项，它向访问网站的每个用户展示详细的错误提示消息。

详细的错误信息可能会暴露应用程序的内部结构，比如如果写的sql语句中报错，可能会暴露数据表，以及sql语句，这是非常不安全的。在Off设置下的网站，黑客会不断的尝试，传递不同的参数，使你的网站出错，然后暴露你的应用程序的内部结构。

mode=Off

比如：

<system.web>
  <authentication mode="None" />
  <compilation debug="true" targetFramework="4.5" />
  <httpRuntime targetFramework="4.5" />
  <customErrors mode="Off" defaultRedirect="error">
  </customErrors>
 </system.web>

在TestAction中直接抛出一个异常，那么我们可以看到与下面类似的黄页

在黄页上面可以看到，页面对应逻辑的堆栈信息，进而暴露项目结构信息。非常的不安全。

那么如果是mode=Off，并且在事件Application_Error中记录并清除错误，会看到什么结果？

 protected void Application_Error(object sender, EventArgs e)
    {
      var context = HttpContext.Current;
      if (context != null)
      {

        Exception objErr = context.Server.GetLastError();
        if (objErr != null)
        {
          string err = "Error Caught in Application_Error event/n" + "Error in:"
+ Request.Url.ToString() + "/nError Message:" + objErr.Message.ToString() +
       "/nStack Trace:" + objErr.StackTrace.ToString();
        、、、、、日志逻辑
          Server.ClearError();
        }
      }
    }
 <customErrors mode="Off" defaultRedirect="Error">
 </customErrors>

defaultRedirect 指定发生错误时浏览器指向的默认 URL。如果没有指定 defaultRedirect，则会显示一般性错误。URL 既可以是绝对的（例如 http://www.***.com/ErrorPage.htm），也可以是相对的。相对 URL（如 /ErrorPage.htm）是相对于指定 defaultRedirect 的 Web.config 文件而言的，而不是针对产生错误的网页。以波形符 (~) 开头的 URL（如 ~/ErrorPage.htm）表示所指定的 URL 是相对于应用程序根路径而言的。

通过上面的操作，如果设置Off，并且在Application_Error事件中捕获异常，并 Server.ClearError()，那么如果报错，在前端页面就会看到空白的页面。

通过这个也可以说明，如果应用程序出错，先触发的Application_Error事件，ClearError之后，那么在页面上就看不到结果了。

mode=On

在设置On模式情况下，如果应用程序发生错误，会跳转到自定义的错误页，这里使用了defaultRedirect属性，并没有配置 <error statusCode="500" redirect="error"/>

mode=RemoteOnly

通过字面意思，仅仅远程，仅仅远程什么呢？可以看下例子。目前所在编码环境，通过vs调试状态，相对远程要访问的用户，可以将本机当做服务器。那么这就是本地，远程访问的浏览器就是Remote。

可以看到，在服务器端，访问仍然能看到黄页，也就是上面所说的ASP.NET错误。那么我们将站点部署在服务器，然后在本地访问会出现什么情况呢？

通过客户端访问服务器的url，则会跳转到默认的自定义错误页面。那么在服务器端又是什么情况呢？

说明： 仅向远程客户端端显示自定义错误，并向本地主机显示 ASP.NET 错误

总结

所以，不要在生产环境中将customErrors关闭。 推荐开启RemoteOnly或者On并定义自定义的错误页面。

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持我们。

您可能感兴趣的文章:

  • ASP.NET web.config中数据库连接字符串connectionStrings节的配置方法
  • ASP.NET(C#)应用程序配置文件app.config/web.config的增、删、改操作
  • asp.net web.config加密解密方法
  • asp.net代码中修改web.config节点的具体方法
  • asp.net Web.config 详细配置说明
  • asp.net 禁用viewstate在web.config里
  • 详解ASP.NET配置文件Web.config
  • asp.net access web.config denied
赞 (0)

相关推荐

  • ASP.NET web.config中数据库连接字符串connectionStrings节的配置方法

    在ASP.NET开发的网站根目录,有一个名为web.config的文件,顾名思义,这是为整个网站进行配置的文件,其格式为XML格式.这里主要谈谈文件中的<connectionStrings>节. <connectionStrings>节是对连接到数据库的字符串进行配置,由于MS SQL Server与ASP.NET同属于微软的产品,因此是使用ASP.NET开发时首选的数据库是MS SQL Server,本文只讨论对MS SQL Server的连接字符串情况.第一种情况,本地开发时,

  • asp.net 禁用viewstate在web.config里

    复制代码 代码如下: <pages enableSessionState="true" enableViewState="false" enableViewStateMac="false" />

  • ASP.NET(C#)应用程序配置文件app.config/web.config的增、删、改操作

    配置文件,对于程序本身来说,就是基础和依据,其本质是一个xml文件,对于配置文件的操作,从.NET 2.0 开始,就非常方便了,提供了 System [.Web] .Configuration 这个管理功能的NameSpace,要使用它,需要添加对 System.configuration.dll的引用. 对于WINFORM程序,使用 System.Configuration.ConfigurationManager: 对于ASP.NET 程序, 使用 System.Web.Configurat

  • asp.net Web.config 详细配置说明

    <?xml version="1.0" standalone="yes"?> <configuration xmlns="http://schemas.microsoft.com/.NetConfiguration/v2.0"> <!--配置全局变量--> <appSettings> <add key="examstr" value="server=.;datab

  • asp.net access web.config denied

    最近有朋友发现access web.config denied出现这个问题,大家可以检查下aspnet帐号的权限.

  • 详解ASP.NET配置文件Web.config

    详解ASP.NET配置文件Web.config

    Web.config文件是一个XML文本文件,它用来储存 ASP.NET Web 应用程序的配置信息(如最常用的设置ASP.NET Web 应用程序的身份验证方式),它可以出现在应用程序的每一个目录中.当你通过VB.NET新建一个Web应用程序后,默认情况下会在根目录自动创建一个默认的Web.config文件,包括默认的配置设置,所有的子目录都继承它的配置设置.如果你想修改子目录的配置设置,你可以在该子目录下新建一个 Web.config文件.它可以提供除从父目录继承的配置信息以外的配置信息,也

  • asp.net web.config加密解密方法

    使用命令行工具aspnet_regiis.exe 你还能够使用aspnet_regiis.exe命令行工具来加密和解密Web.config文件配置部分,你可以在"%WINDOWSDIR%\Microsoft.Net\Framework\version"目录下找到这个工具.为了加密Web.config文件中的一个节,你可以在这个命令行工具中使用DPAPI机器密钥,如下所示: 加密一个特定网站的Web.config文件的通用形式: 复制代码 代码如下: aspnet_regiis.exe

  • asp.net代码中修改web.config节点的具体方法

    但是这个变量不会一个固定的值,会根据实际情况而发生变化,比如在需要读取一个配置文件的路径,而这个路径是站点发布的实际硬盘路径,如果直接是编译时状态,没有问题.但是如果站点iis更换路径,就需要修改这个web.config中的参数.如果能将这个编译时状态修改为运行时状态,那将更为合理和方便.这就需要存在一种在代码中能够动态修改web.config的方案.  代码  复制代码 代码如下: /// <summary>          /// 写入web.config          /// &l

  • 详解Asp.net web.config customErrors 如何设置

    摘要 customErrors也经常在开发部署中看到<customErrors mode="Off" />,设置这样可以在页面上看到详细的错误信息.但也为黑客提供了攻击的线索. customErrors 该节点有三种可选的设置项 On:服务器开发的最安全选项,因为它总是隐藏错误提示信息. RemoteOnly:向大多数用户展示一般的错误信息,但向拥有服务器访问权限的用户展示完整的错误提示信息.换句话说,仅向远程客户端端显示自定义错误,并向本地主机显示 ASP.NET 错误.

  • 详解ASP.NET WEB API 之属性路由

    详解ASP.NET WEB API 之属性路由

    以下为常规MVC路由 config.Routes.MapHttpRoute( name: "DefaultApi", routeTemplate: "api/{controller}/{id}", defaults: new { id = RouteParameter.Optional }, ); 如果我们要实现类似以下效果路由的话,使用常规公约路由比较麻烦. order/Miles/三只松鼠干果/2袋 order/2017/1/13 如果使用属性路由的话就比较简单

  • 详解ASP.NET Core Web Api之JWT刷新Token

    详解ASP.NET Core Web Api之JWT刷新Token

    前言 如题,本节我们进入JWT最后一节内容,JWT本质上就是从身份认证服务器获取访问令牌,继而对于用户后续可访问受保护资源,但是关键问题是:访问令牌的生命周期到底设置成多久呢?见过一些使用JWT的童鞋会将JWT过期时间设置成很长,有的几个小时,有的一天,有的甚至一个月,这么做当然存在问题,如果被恶意获得访问令牌,那么可在整个生命周期中使用访问令牌,也就是说存在冒充用户身份,此时身份认证服务器当然也就是始终信任该冒牌访问令牌,若要使得冒牌访问令牌无效,唯一的方案则是修改密钥,但是如果我们这么做了,

  • 详解ASP.NET 页面之间传值的几种方式

    开篇概述 对于任何一个初学者来说,页面之间传值可谓是必经之路,却又是他们的难点.其实,对大部分高手来说,未必不是难点. 回想2016年面试的将近300人中,有实习生,有应届毕业生,有1-3年经验的,有3-5年经验的,有5-10年经验的,对于所有的面试者,我几乎问了同一道题:"请说说你所知道的页面之间传值的几种形式和方法,并阐述他们的原理和过程",关于这道题,从大家的回答来看,结果并不是很理想,从种类上来说,大部分人回答5种左右,极少部分能回答8种,没有超过8种的,但从深度上来说,很少有

  • 详解ASP.NET Core 反向代理部署知多少

    引言 最近在折腾统一认证中心,看到开源项目IdentityServer4.Admin集成了IdentityServer4和管理面板,就直接拿过来用了.在尝试Nginx部署时遇到了诸如虚拟目录映射,请求头超长.基础路径映射有误等问题,简单记录,以供后人参考. Nginx 配置路由转发 首先来看下IdentityServer4.Admin的项目结构: IdentityServer4.Admin / ├── Id4.Admin.Api # 用于提供访问Id4资源的WebApi项目 ├── Id4.Ad

  • 详解Asp.Net Core 2.1+的视图缓存(响应缓存)

    响应缓存Razor 页与 ASP.NET 核心 2.0 中不支持. 此功能将支持ASP.NET 核心 2.1 版本. 在老的版本的MVC里面,有一种可以缓存视图的特性(OutputCache),可以保持同一个参数的请求,在N段时间内,直接从mvc的缓存中读取,不去走视图的逻辑. [OutputCache(Duration =20)]//设置过期时间为20秒 public ActionResult ExampleCacheAction() { var time=DateTime.Now.ToStr

  • 详解ASP.NET Razor 语法

    Razor 同时支持 C# (C sharp) 和 VB (Visual Basic). 主要的 Razor C# 语法规则 Razor 代码块包含在 @{ ... } 中 内联表达式(变量和函数)以 @ 开头 代码语句用分号结束 变量使用 var 关键字声明 字符串用引号括起来 C# 代码区分大小写 C# 文件的扩展名是 .cshtml C# 实例 <!-- Single statement block --> @{ var myMessage = "Hello World&quo

  • 详解ASP.NET Core3.0 配置的Options模式

    上一章讲到了配置的用法及内部处理机制,对于配置,ASP.NET Core还提供了一种Options模式. 一.Options的使用 上一章有个配置的绑定的例子,可以将配置绑定到一个Theme实例中.也就是在使用对应配置的时候,需要进行一次绑定操作.而Options模式提供了更直接的方式,并且可以通过依赖注入的方式提供配置的读取.下文中称每一条Options配置为Option. 1.简单的不为Option命名的方式 依然采用这个例子,在appsettings.json中存在这样的配置: { "Th

  • 详解ASP.NET MVC的整个生命周期

    详解ASP.NET MVC的整个生命周期

    目录 一.介绍 二.MVC生命周期详述 View的初始化和渲染呈现 三.结束 一.介绍 我们做开发的,尤其是做微软技术栈的,有一个方向是跳不过去的,那就是MVC开发.我相信大家,做ASP.NET MVC 开发有的有很长时间,当然,也有刚进入这个行业的.无论如何,如果有人问你,你知道ASP.NET MVC的生命周期吗?你知道它的来世今生吗?你知道它和 ASP.NET WEBFORM 有什么区别吗?估计,这些问题,有很多人会答不上来,或者说不清楚.今天,我就把我的理解写出来,也是对我自己学习的一次回

  • 详解ASP.NET Core中配置监听URLs的五种方式

    默认情况下,ASP. NET Core应用会监听一下2个Url: http://localhost:5000 https://localhost:5001 在本篇博文中,我将展示如何使用五种不同的方式改变应用监听的URLs. 在ASP.NET Core项目启动时,有多种配置监听Url的方式,在我之前的一篇博客中,已经展示了在ASP.NET Core 1.0中如何应用不同的方式配置,在ASP.NET Core 3.x中,大部分方式还是一样的. UseUrls() - 在Program.cs配置程序

随机推荐