可以将__VIEWSTATE和__EVENTVALIDATION用于研究以破坏Web应用程序吗？
VIEWSTATE和EVENTVALIDATION是ASP.NET Web Forms中的两个隐藏字段，用于维护页面状态和验证事件的有效性。它们主要用于防止跨站点请求伪造（CSRF）攻击和保护Web应用程序的安全性。
VIEWSTATE字段用于存储页面的状态信息，包括控件的值、控件的状态以及页面的结构。它通过在页面的请求和响应之间传递数据，使得Web应用程序能够在不使用会话或数据库的情况下维护页面的状态。攻击者可以通过修改VIEWSTATE字段的值来尝试破坏Web应用程序的状态，但是ASP.NET会对__VIEWSTATE进行验证，如果验证失败，请求将被拒绝。
EVENTVALIDATION字段用于验证页面上的事件是否有效，以防止恶意用户通过修改页面上的事件参数来执行未经授权的操作。它包含了页面上所有可能的事件和其对应的参数值，服务器会根据EVENTVALIDATION字段的值来验证事件的有效性。如果攻击者尝试修改__EVENTVALIDATION字段的值，服务器会拒绝请求。
综上所述，VIEWSTATE和EVENTVALIDATION字段在保护Web应用程序的安全性方面起到了重要的作用，防止了CSRF攻击和未经授权的操作。然而，如果攻击者能够成功修改这两个字段的值，可能会对Web应用程序造成破坏。因此，开发人员应该采取一些安全措施来保护这两个字段的完整性，例如启用页面验证、使用HTTPS等。
腾讯云相关产品和产品介绍链接地址：
- 腾讯云Web应用防火墙（WAF）：提供全面的Web应用程序安全防护，包括防护CSRF攻击等。详情请参考：https://cloud.tencent.com/product/waf
- 腾讯云安全组：用于在云服务器实例上设置网络访问控制，保护Web应用程序免受未经授权的访问。详情请参考：https://cloud.tencent.com/product/cvm/security-group
- 腾讯云SSL证书：提供HTTPS加密通信，保护数据传输的安全性。详情请参考：https://cloud.tencent.com/product/ssl
相关·内容
我现在正在学习ASP.NET，我被__VIEWSTATE和__EVENTVALIDATION弄糊涂了。
是否有可能读取这两个项目的价值，以了解应用程序的内部结构，并可能对其进行操作。就像。人们写道，__VIEWSTATE包含有关未通过POSTBACK发送回的元素的属性的信息，例如标签。那么，难道就不可能操纵应用程序中标签的价值，使其显示错误的信息吗？是否有可能用更大的值来更改__VIEWSTATE的值，以便当它被回发到服务器时，会
浏览 2提问于2011-03-09得票数 5
回答已采纳
我正在动态提取我的asp.net网站的所有动态值，但是，我可以在采样器结果中看到“响应代码: 500，响应消息:内部服务器错误”。下面是“查看结果”在树中的请求：POST http://MyURL/MyPortal/login.aspx
__VIEWSTATE=%2FwEPDwUKMTI3MjAzNjAzNGRkjr4joFF5LWOOmI2LfqKYaLCnJoWEEuersumW%2Fyg8oSE%3D&__EVENTVALIDATION=%2FwEdAAe%
浏览 1提问于2015-09-29得票数 1
回答已采纳
4回答
我想提取ViewState值和EVENTVALIDATION值，但我还没有。如何从该文本中提取两个字符串(viewstate和eventvalidation)？<input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="DAwNEAIAAA4BBQAOAQ0QAgAADgEFAQ4BDRACAAAOAQUTDg
浏览 0提问于2014-01-21得票数 2
4回答
我目前正在加载测试一个.Net web应用程序。在这种情况下，用户将登录并执行某些导航步骤，然后他/她将填写一份评估表，提交它，然后从应用程序中注销。
因此，对于这个场景，有许多GET和POST请求。而且，由于它的.Net应用服务器将使用view-State和_Event-Validation执行一些身份验证。但为了处理这件事，我不确定我需要从哪个请求中获取这两个参数并将其传递给哪个请求，因为这个场景是GET和POST requests.Here的组合，是请求
浏览 1提问于2015-10-09得票数 0
CookieContainer(); string postData = "__VIEWSTATE2FwEPDwUKMTE5MDg0MzIzM2QYAQUeX19Db250cm9sc1JlcXVpcmVQb3N0QmFja0tleV9fFgEFCWltYl9sb2dpbgtoYQyQQGMGv%2FcyvjeVOFG%2FhKtH&__EVENTVALIDATIONCookie oC = new Cookie(
浏览 2提问于2011-03-01得票数 0
回答已采纳
4回答
C#数组转换
、、
我是个C#菜鸟，这里有什么帮助吗？下面的代码运行良好，返回1个字符串ViewState2。我想让它返回一个由ViewState2和EventValidation2组成的数组，这样我以后就可以操作它了。如何将下面的代码转换为返回数组？= ViewState.Attributes[3].Value;
string EventValidation2 = EventValidation.Attributes[
浏览 0提问于2010-10-23得票数 1
回答已采纳
1回答
我尝试重新创建他们的前端.aspx表单，并在代码隐藏中用第一次请求登录页面时检索到的值填充eventtarget和viewstate输入后强制执行post。请求正文与我在应用程序之外登录站点时完全相同，也与我的代码隐藏和.aspx表单post完全相同。但是我一直在.aspx表单post中得到一个500错误。然而，使用开发人员工具，我可以看到我的应用程序cookie没有改变。我甚至不被允许这样做，这是有道理的。
有什么方法可以做到这一点吗？submitB
浏览 0提问于2016-03-14得票数 0
问题( a)还是总是被排除在外？2)我从中了解到，打开安全性
浏览 1提问于2012-06-18得票数 7
回答已采纳
我之前测试了我们针对iPhone的移动应用程序，并使用一个插件将Firefox的User Agent字符串屏蔽为一个iPhone。
事实上，.Net并不是仅仅基于这段信息来生成回发所需的代码。然而，我不喜欢这样，因为由于iPhone和其他多媒体设备可以解释javascript，ASP.net破坏了任何依赖服务器生成的javascript才能运行的应用程序。我试过重启(嘿，一半的时间都能用)，清除了App_Code，global.asax和web.con
浏览 7提问于2009-05-27得票数 5
回答已采纳
1回答
我想要创建一个iOS应用程序，该应用程序可以登录到并分析来自该站点几个页面的数据，而维护登录session.This是我迄今为止所做的工作。我发送一个GET请求来检索POST请求所需的EVENTVALIDATON和VIEWSTATE参数。(我使用“Firebug”查看帖子)。当我运行以下代码时，它会返回相同的登录页面。var parameter: Parameters = [:] var e
浏览 1提问于2017-06-18得票数 4
回答已采纳
2回答
<input type="hidden" name="_VIEWSTATE" id="_viewstate" value="..lots of text.." /><input type="hidden" name="_EVENTVALIDATION" id="_EVENTVALIDATION" value="..lots
浏览 4提问于2010-01-19得票数 1
我正在尝试使用JMeter登录到asp.net web forms应用程序。我将登录序列记录到一个*.jmx文件中，现在我正在尝试使用正则表达式提取器后处理器提取__VIEWSTATE、__VIEWSTATEGENERATOR和__EVENTVALIDATION隐藏输入。24LoginButton.y=4&__LASTFOCUS=&ctl00%24ContentPlaceHolder1%24Login1%24UserName=MyUserName&__EVENTT
浏览 19提问于2019-02-13得票数 0
回答已采纳
我使用在asp.net WebForms web应用程序上执行负载测试。当一个新的构建上传到测试环境中时，我们需要记录一组新的测试(我正在使用fiddler来记录测试)，因为否则就会引发VIEWSTATE错误。在CapCal中是否有方法将VIEWSTATE设置为变量(从页面源提取viewstate，将提取的值分配给变量)，而不是硬编码的值？
浏览 6提问于2013-01-16得票数 0
我正经历着与这个问题的海报完全相反的问题：<system.web> <input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="/wEPDwU
浏览 3提问于2015-03-16得票数 1
回答已采纳
我确实看到框架生成了__EVENTVALIDATION和__VIEWSTATE隐藏表单字段，我已经通过machineKey和viewStateEncryptionMode=在web.config中对它们进行了加密我测试了一个交叉投递(通过表单的asp: PostBackUrl )表单，在该表单中，我修改了__VIEWSTATE、__EVENTVALIDATION和__PREVIOUSPAGE (额外用于交叉发布FYI，我将</
浏览 4提问于2011-09-30得票数 2
回答已采纳
你知道为什么会发生这种情况吗？7776 02:11:53 ERROR Application error.Exception: System.Web.HttpException at System.Web.UI.Page.Load
浏览 0提问于2013-10-14得票数 2
回答已采纳
我在新工作中的职责之一是网络安全，在我对旧的web服务器运行目录遍历工具之后，我发现内容管理系统的管理登录页面是不受限制的，可以通过互联网访问。我提请我的老板注意这一点，他说，既然"EventValidation“和"ViewState”参数是设置的，它就可以防止像Hydra或Medusa这样的野蛮的应用程序。我试着对这些参数以及它们如何影响蛮力攻击做了一些研究，但我没有发现任何具体的东西，如果有人能在这个问题上指出正确的方向或提供
浏览 0提问于2015-03-27得票数 4
回答已采纳
1回答
从测试ASP.NET web应用程序，我执行了登录屏幕抓取，获得_VIEWSTATE，__VIEWSTATEGENERATOR，__EVENTVALIDATION等，然后提供凭据和准备的PostData现在，我需要在单独的浏览器窗口中启动它，以便安全页面将按原样打开，然后所有页面链接都将正常工作。当我编写Response.Write(responseData);时，页面源代码(Html)在当前的Test ASP.NET web应用程序中打开。
有什么建
浏览 0提问于2018-05-24得票数 1
1回答
当我们使用脚本并尝试登录时，我们会看到以下错误：验证viewstate失败。如果此应用程序由网络场或群集承载，请确保配置指定相同的validationKey和验证算法。AutoGenerate不能在集群中使用。我们做了一些检查，这个问题似乎可以通过编辑windows服务器上的web.config文件来解决，但我们的是linux。有人能建议如何在wordpress上解决这个问题吗？" id="__<em
浏览 5提问于2014-02-27得票数 0
为了获得最好的性能，请使用组件TIdHTTP和TIdCookieManager。 TAG_EVENTVALIDATION = '<inputtype=&qu
浏览 2提问于2013-08-13得票数 1
回答已采纳
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
腾讯云开发者
