Luigi Melisi » Asp.Net

Grave vulnerabilità delle applicazioni ASP.NET

Luigi Melisi — Tue, 21 Sep 2010 08:02:20 +0000

Nei giorni scorsi Microsoft ha riportato una grave vulnerabilità delle applicazioni ASP.NET (dalla 1.1 alla 4.0).
Questo bug consentirebbe di effettuare il download di tutti i file presenti sul server e di effettuarne la decifratura.
La soluzione da adottare per eliminare tale problema è la seguente:

1) Impostare nel web.config i customErrors a On
2) mettere nella root del sito il file errore.aspx, avente nel load il seguente listato:

protected void Page_Load(object sender, EventArgs e)
{
byte[] delay = new byte[1];
RandomNumberGenerator prng = new RNGCryptoServiceProvider();
prng.GetBytes(delay);
Thread.Sleep((int)delay[0]);
IDisposable disposable = prng as IDisposable;
if (disposable != null) { disposable.Dispose(); }
}

Per verificare che tutto funzioni correttamente è sufficiente richiamare una pagina web non presente all’interno della nostra solutions.
Per ulteriori informazioni:
http://www.microsoft.com/technet/security/advisory/2416728.mspx
http://blogs.technet.com/b/srd/archive/2010/09/17/understanding-the-asp-net-vulnerability.aspx
http://weblogs.asp.net/scottgu/archive/2010/09/18/important-asp-net-security-vulnerability.aspx

[.NET Framework 4.0] : le novità del Web.config

Luigi Melisi — Mon, 28 Jun 2010 17:30:36 +0000

Il file Web.config è il file di configurazione delle applicazioni ASP.NET, quello che ci consente di impostare uno o più parametri di configurazione per le nostre applicazioni web. Con l’introduzione di numerose nuove funzionalità, le impostazioni del Web.config
sono diventate sempre più numerose.
Per questo motivo con il .NET Framework 4.0 la maggior parte delle configurazioni di base sono state spostate nel file machine.config e le applicazioni ASP.NET ereditano da qui le impostazioni, avendo comunque la possibilità di modificarle dichiarandole esplicitamente. Per questo motivo il Web.config delle applicazioni ASP.NET 4.0 si è molto ridotto, potendo addirittura lasciare il file completamente vuoto oppure specificando solo la versione del Framework utilizzata dall’applicazione.

MSDN Tutorials: ASP.NET MVC 1.0

Luigi Melisi — Wed, 09 Sep 2009 12:06:36 +0000

Sulla piattaforma video BEIT sono disponibili i seguenti video su ASP.NET MVC 1.0

Mentre tutti i video su ASP.NET MVC sono disponibili a questo link

Cache con dipendenza da SQL Server 2005 e ASP.NET 2.0

Luigi Melisi — Wed, 26 Aug 2009 18:25:05 +0000

SQL Server 2005 offre un supporto nativo alla dipendenza su database di oggetti salvati in Cache, una delle novità offerte dall’infrastruttura di cache di ASP.NET 2.0.

Questa possibilità consente di sfruttare gli HttpListener di ASP.NET, così che sia SQL Server ad inviare le notifiche sui cambi nei risultati della query, anzichè essere ASP.NET a farne una ad intervalli regolari per verificare che i dati siano cambiati.

Tra l’altro questo consente di limitare di molto la fase di configurazione della dipendenza, che si limita ad abilitare il supporto del Service Broker sul database e dare l’accesso all’utente, il tutto eseguendo questi comandi:

ALTER DATABASE mioDatabase SET ENABLE_BROKER

GRANT SUBSCRIBE QUERY NOTIFICATIONS TO mioNome

Per tenere in cache il risultato di una query fino a che la stessa non avrà modificato i propri dati è sufficiente associare il SqlCommand utilizzato ad una nuova istanza di tipo SqlCacheDependency, così che il risultato venga monitorato e l’oggetto in cache venga poi invalidato e rimosso in automatico.

using (SqlConnection conn = new SqlConnection(miaStringaConnessione))

// query da eseguire

SqlCommand cmd = new SqlCommand("SELECT campo1, campo2 FROM miaTabella", conn);

SqlDataAdapter da = new SqlDataAdapter();

da.SelectCommand = command;

// definizione della dipendenza

SqlCacheDependecy dep = new SqlCacheDependency(cmd);

// caricamento dei dati

DataTable mioDataTable = new DataTable("nomeDataTable");

da.Fill(mioDataTable);

// aggiunta in cache

Cache.Insert("nome", nomeDataTable, dep);

Fino alla modifica della tabella mia Tabella , i dati risultati dalla query rimarranno nella cache e pertanto l’elemento non verrà rimosso.

Microsoft Visual Studio 2010 and .Net Framework 4 Training Kit

Luigi Melisi — Wed, 05 Aug 2009 14:18:45 +0000

Su Microsoft Downloads trovate il Training Kit su Visual Studio 2010 e il .NET Framework 4 aggiornato alla Beta 1.

Di seguito un breve indice dei contenuti:

C# 4.0
Visual Basic 10
F#
Parallel Extensions
Windows Communication Foundation
Windows Workflow
Windows Presentation Foundation
ASP.NET 4
Entity Framework
ADO.NET Data Services
Managed Extensibility Framework
Visual Studio Team System

Il Training Kit è una risorsa veramente utile, per cui vi consiglio di dargli un’occhiata.

P.s. per chi se li fosse persi, esistono anche i Training Kit per per il Visual Studio 2008 e il .NET Framework 3.5 e per le novità aggiunte con la SP1.