为什么Scott Guthrie建议我们在Error.aspx中使用随机的小睡眠延迟？

Question

为什么Scott Guthrie建议我们在Error.aspx中使用随机的小睡眠延迟？

我无法弄清楚,随机的小睡眠延迟怎么可以成为防止攻击者探测我们网站的解决方案.

这是他的代码片段:

<%@ Page Language="C#" AutoEventWireup="true" %>
<%@ Import Namespace="System.Security.Cryptography" %>
<%@ Import Namespace="System.Threading" %>

<script runat="server">
void Page_Load() {
  byte[] delay = new byte[1];
  RandomNumberGenerator prng = new RNGCryptoServiceProvider();

  prng.GetBytes(delay);
  Thread.Sleep((int)delay[0]);

  IDisposable disposable = prng as IDisposable;
  if (disposable != null) { disposable.Dispose(); }
}
</script>

<html>
<head runat="server">
<title>Error</title>
</head>
<body>
<div>
    An error occurred while processing your request.
</div>
</body>
</html>

Run Code Online (Sandbox Code Playgroud)

Answer 1

Ale*_*lex 6

这是为了防止人们不断触发您的错误页面并利用最近的ASP.NET漏洞.他们需要大量的失败来利用这种漏洞.

睡眠延迟不会"阻止"访问您的页面.可以认为它类似于暴力破解密码; 如果你需要在猜测之间等待5秒而不是5毫秒,你将花费更多的时间来找到pw.

根据接收错误页面所花费的时间,可能会确定不同类型的错误,因此随机延迟会使这一点混淆 (7认同)

归档时间：	15 年，7 月前
查看次数：	481 次
最近记录：	15 年，6 月前