浅析C#XmlSerializer的安全隐患

C# XmlSerializer使用注意事项是什么呢？我们在实际的操作中要注意保护C# XmlSerializer应用程序，那是为什么呢？下面我们详细的来讲解下。在创建呵和使用C# XmlSerializer的应用程序时，您应当注意什么？

专注于为中小企业提供成都网站设计、成都网站建设服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业洪江免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了数千家企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。

C# XmlSerializer注意事项1、C# XmlSerializer创建 C# 文件 (.cs 文件)的过程。

这个过程C# XmlSerializer创建完文件并将其编译成 .dll 文件，这些 .dll 文件位于由 TEMP 环境变量指定的目录中；这些 DLL 文件将发生序列化。

代码和 DLL 在创建和进行编译时，易于遭受恶意进程的攻击。如果所使用的计算机运行的是 Microsoft Windows NT 4.0 或更高版本，则有可能会有两个或更多用户共享临时目录。

如果同时存在以下两种情况，则共享临时目录是有危险性的：(1) 两个帐户有不同的安全特权；(2) 具有较高特权的帐户运行一个使用 XmlSerializer 的应用程序。在这种情况下，某一用户可以替换所编译的 .cs 或 .dll 文件，由此破坏计算机的安全性。为了避免发生这一问题，请始终确保计算机上的每一帐户都有自己的配置文件。如果能够保证这一点的话，默认情况下，TEMP 环境变量就会为不同的帐户指定不同的目录。

如果一名恶意用户向 Web 服务器发送持续的 XML 数据流（拒绝服务攻击），XmlSerializer 会一直处理这一数据，直到计算机资源不够用才停止。
如果您所使用的计算机运行 Internet 信息服务 (IIS)，并且您的应用程序是在 IIS 下运行，就可以避免这类攻击。IIS 带有一个控制门，用于禁止处理大于设定数量（默认值是 4 KB）的数据流。如果您所创建的应用程序不使用 IIS，同时该应用程序使用 XmlSerializer 进行反序列化，则应该实现一个类似的控制门，以阻止拒绝服务攻击。

C# XmlSerializer注意事项2、XmlSerializer 将使用给予它的任何类型，对数据进行序列化，并运行任何代码。

恶意对象施加威胁的方式有两种。一种是运行恶意代码，另一种是将恶意代码插入到由 XmlSerializer 创建的 C# 文件中。在第一种情况下，如果恶意对象试图运行破坏性过程，代码访问安全性将帮助防止发生任何破坏。在第二种情况下，在理论上，恶意对象有可能会以某种方式将代码插入到由 XmlSerializer 创建的 C# 文件中。尽管对这一问题已进行了彻底的检验，而且这类攻击被认为是不可能的，但您还是应该小心一些，一定不要序列化那些不可信的未知类型的数据。

C# XmlSerializer注意事项3、已序列化的重要数据可能易于遭到攻击。

XmlSerializer 对数据进行了序列化之后，数据可以被存储为 XML 文件，或存储在其他数据存储区。如果其他进程可以访问到您的数据存储区，或是可以在 Intranet 或 Internet 上看到该数据存储区，数据就可能被窃取，并被恶意使用。例如，如果您创建了一个应用程序，对包含信用卡号码的订单进行序列化，这一数据就非常重要。为了防止发生这一问题，请始终保护您的数据存储区，并对数据采取保密措施。

C# XmlSerializer的使用特别要注意的事项就向你介绍到这里，希望对了解和学习C# XmlSerializer有所帮助。

网站栏目：浅析C#XmlSerializer的安全隐患
文章路径：http://www.shufengxianlan.com/qtweb/news36/178286.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联