+ in alternativa a% 20 un vettore di attacco?

Solo per riferimento: http://host/path?query

Il simbolo + è un po 'problematico negli URI, questo perché è interpretato in modo diverso da diversi codificatori / decodificatori URI. È sempre interpretato come uno spazio se si verifica nella parte query dell'URI (tutto dopo il?), Tuttavia se viene interpretato come uno spazio se si verifica in la parte percorso dell'URI è giù per il decodificatore utilizzato.

Il tuo esempio usa la sezione percorso e la risposta dipenderà esattamente da quale decodificatore stai usando. La maggior parte di essi non decodificherà + nello spazio quando si verifica nel percorso, ma non lo saprai fino a quando non proverai con il tuo decodificatore specifico. Questo è esattamente il tipo di brutta sanitizzazione-bypass che può morderti: P

%20 e + sono due forme diverse, anche se correlate, di codifica di uno spazio (0x20):

• %20 è la semplice codifica percentuale utilizzata per rappresentare dati non ASCII negli URL.
• + deriva dalla applicazione / x-www-form-urlencoded codifica dei dati , che si basa sulla codifica percentuale, ma utilizza + per gli spazi di codifica.

Quest'ultima application / x-www-form-urlencoded è la codifica predefinita per i moduli. Con il metodo GET, per i dati viene semplicemente aggiunto l'URL action del modulo nella parte query . Questa è una convenzione introdotta con HTML.

Quindi, oltre alla convenzione di codifica generale per gli URL, i server Web o le applicazioni di codifica per percentuale, che dovrebbero essere in grado di elaborare richieste GET parametrizzate, devono essere in grado di decodificare l'applicazione / x-www-form-urlencoded , ma solo per la query secondo le specifiche HTML.

Altre parti dell'URL, come nel tuo caso il percorso dell'URL , non sono soggetti al application / x-www-form-urlencoded per impostazione predefinita. Alcuni web server / applicazioni possono decodificarlo, ma non è un comportamento standardizzato.

Ma non riesco a capire in che modo consentire un + negli URL possa comportare un rischio per la sicurezza, in particolare se viene decodificato in uno spazio. Esistono tecniche di menzionato "attacco SQL o JScript" che funziona senza + o spazio. Suppongo quindi che sia piuttosto una whitelist o una lista nera di determinati caratteri, incluso il + .

+  is an arithmetic operator in the sql language. 

Se il tuo asp.net genera un errore anche quando usi quegli operatori matematici: +, -, /. Allora potrebbe essere il motivo per cui!