c# – 我被黑了.上传的Evil aspx文件名为AspxSpy.他们还在努力.帮我陷阱吧！

受保护的web.config必须仅包含：

<configuration>
    <system.web>
      <authorization>
        <deny users="*" />
      </authorization>
    </system.web>
</configuration>

使用此web.config,您的程序仍然可以在此目录上读取和写入图像和其他文件,但无法运行aspx和其他正在运行的asp.net扩展.

检查文件扩展名上传

当然,您必须在上传和重命名时检查所有已知的正在运行的文件扩展名,包括但不限于.exe .PHP .aspx .com .asp .ashx
这是我相信第一个必须做的事情,但是要确保没有找到任何其他方式来运行未知的东西是web.config和仅限于dot.net.

你问的密码

只需在http://jsbin.com/uhoye3/edit#html上注释/删除所有这些行,你就会看到它正在运行,因为在这一点上检查密码并在失败时返回false.如果继续,则取消密码部分.

if (request.Cookies[vbhLn].Value != password)
    {
    tZSx();
    return false;
    }