Login Panelim Ne Kadar Güvenli?

coder-help

Marhabalar.Uzun zamandır sık sık sql tarafından ' Login Failed' hatasıyla karşılaşmamdan kaynaklı bir atak durumu mu yaşıyorum aceba. Kodumu aşağıya bırakıyorum. Güvenlik açığı oluşturma durumu nedir sizce ne kadar güvenli bir kod giriş paneli için ?
C# :

using System;
using System.Data.SqlClient;
using System.Web.Configuration;
 
namespace project
{
    public partial class Loginmstr : System.Web.UI.Page
    {
        protected void Page_Load(object sender, EventArgs e)
        {
        }
 
        protected void Button1_Click(object sender, EventArgs e)
        {
            using (SqlConnection con = new SqlConnection(WebConfigurationManager.ConnectionStrings["Constr"].ToString()))
            {
                using (SqlCommand cmd = new SqlCommand("SELECT * from users where users_ad= @P1 and users_pass= @P2", con))
                {
                    cmd.Parameters.AddWithValue("@P1", TextBox1.Text);
                    cmd.Parameters.AddWithValue("@P2", TextBox2.Text);
                    con.Open();
                    SqlDataReader dr = cmd.ExecuteReader();
                   
                    if (dr.Read())
                    {                       
                        Session["users_ad"] = dr["users_ad"].ToString();
                        Response.Redirect("abc.aspx");
                    }
                    else
                    {
                        Label1.Text = "<strong style = 'color:red;'> **KULLANICI ADI VEYA PAROLA HATALI!<strong>";
                    }
                    con.Close();
                }
            }
        }
    }
}

Halil Han BADEM

coder-help Merhaba,
önerim şunlar;

Captcha ekleyiniz.
CSRF token kullanınız.

coder-help

Halil Han BADEM dediklerinizi uygulamaya başladım çok teşekkürler. Bunlara ek olarak bende birkaç güvenlik yöntemi belirtmek istiyorum

SSL/TLS Güvenli Sertifikası
Hesap Kilitleme
Parola Hashleme

harezmi

sorguları entity framework veya linq kullnarak atmak belki daha güvenli olabilir

coder-help

harezmi Merhaba,elinizde örnek var mıdır? Nasıl uygulayabileceğimi anlayamadım

harezmi

örneği çoktur bulunur ama login sırasında güvenlik açığı konusu benim kafama takılmaya bağladığı için daha yeni social msdn forumda bu konuyu ben de sormuş bulundum. ve farkettim ki biz güvenlik konusunu uygulama tarafında düşünüyoruz ama bunu asıl sql'de sağlamak gerekiyor. Mesela ben sql server kullanıyorum ve burada çok farklı rolde kullanıcıların veri yazma ve okuma yetkisi var haliyle uygulamaya giriş bile yapmadan direkt sql'e bağlanma gibi bir problem ortaya çıkıyor. Sql'i networkten erişime açtığımızda muhtemeldir ki bir kişi management studio ile direkt benim sql'im de oturum açabilir. Haliyle veritabanıma erişmiş olacak.
şurada bahsettiğim forumda sorum ve verilen cevaplar var.
Biraz araştırınca şurada ise Sql server'da güvenlik hk güzel bir makale buldum.
Ben mesela Veritabanıma uygulama dışından bağlanılmasını tamamen engellemeyi istiyorum. Bu konuda araştırma yapmaya başladım ama belki bilgi sahibi olan birileri bizi bilgilendirir. Biz de yorulmadan içimiz rahat uygulama geliştirebilir.
Kolay gelsin herkese

coder-help

harezmi merhaba dönüşünüz gerçekten muhteşem. Yeni yeni atılıyorum ve kafam çok karıştı. Sql tarafındaki güvenliği sağlayabilmek için ne yaptınız aceba. Ne yapmalıyım inanın fazla sıkıştım güvenlik açığım bol miktarda sanırsam. ReCAPTCHA,SSL/TLS vs. uyguladım fakat sql tarafında ne yapmam gerektiğini tam kavrayamadım. Bu arada sık aralıklarla asp web uygulamamda Validation of viewstate MAC failed. If this application is hosted by a web farm or cluster, ensure that <machineKey> configuration specifies the same validationKey and validation algorithm. AutoGenerate cannot be used in a cluster. hatası alıyorum bu konu hakkında bir bilginiz var mıdır? Nasıl çözümleyebilirim?

harezmi

Diyelimki C# ile yaptığım bir desktop uygulamam var. Veri tabanı bilgileri App.Config te yada bir class ta tutuluyor. kullanıcının bilgisayarına uygulamayı kurduktan sonra kullanıcı sql server management studio yu açıp veritabanına direkt bağlanırsa ne olacak. bizim uyulamada yaptığımız kısıtlamaların hiç bir anlamı olmayacak haliyle. Benim uygulamam bir domain içinde çalışacağı için dışarında veritabanına erişim mümkün olmuyor domaindeki kullanıcılarında management'i açmaları mümkü değil haliyle çok bir sıkıntı yaşamam herhalde ama araştırdığımda verilen genel fikir veritabanı bilgilerinin hashlenmesi. Veritabanına kaydettiğimiz kullanıcı şifrelerini hashliyoruz ama app.config te connection string içindeki parola nasıl hashlanecek ona bi bakmak lazım. Şu an biraz zaman problemim var araştıracak fırsat bulamıyorum o yüzden ki inanıyorum ki siz öğrenince bizi de aydınlatırsınız. kolay gelsin

coder-help

harezmi Bir uygulamanın içinde bulunan app.config dosyasının içeriklerinin şifrelenmesi,daha çok connectionString için an itibariyle bulduğum linki paylaşıyorum bakmanızı tavsiye ederim.

http://emraharal.com/2016/12/16/app-config-ve-web-config-sifreleme-hatasi/

Şifreleme;
1-Projemizin içindeki app.config dosyanın adını web.config olarak değiştiriyoruz (Değiştirmeden önce bir yedek alınız.İşlem sonunda eski adını geri vereceğiz).
2- Windows + R (Çalıştır) alanına cmd yazıp çalıştırıyoruz.
3- cmd ekranına cd C:\Windows\Microsoft.NET\Framework\v2.0.50727 yazarak çalıştırıyoruz.
4- Açılan dosyanın içine,
aspnet_regiis.exe -pef “xml şifrelemek istenen tag” “projenin web.config yolu”
aspnet_regiis.exe -pef “connectionStrings” “C:\Users\Tosun\Desktop\ConnectToAccountancy\ConnectToAccountancy” işlemi çalıştıralım.
connectionStrings = şifrelemek istediğimiz tag (Ben veritabanı şifreliyorum);
Sonuç;
5- Adını değiştirdiğimiz app.config eski haline getiriyoruz.
app.config yada web.config dosyasının içine bakıyoruz. Kod tarafında bir şey yapmamıza gerek kalmadan net framework çözümlüyor.

Şifreyi kaldırma;
1- app.config adını web.config olarak değiştiriyoruz.
2- windows + R (Çalıştır) alanına cmd yaz ve çalıştır.
3- cd C:\Windows\Microsoft.NET\Framework\v2.0.50727 çalıştır.
4- aspnet_regiis.exe -pdf “connectionStrings” “C:\Users\Tosun\Desktop\ConnectToAccountancy\ConnectToAccountancy”
5 -web.config adını app.config tekrar eski halina getirelim. Bu şekilde connectionString tekrar görmemize sağlar.

Not: Aynı zamanda buradaki makaleyede göz atmanızı tavsiye ederim açıklamaları güzel. Fakat nasıl uygulayabileceğimi anlayamadım.