Asp.Net Güvenlik Açığı

[novaege]

Merhaba arkadaşlar,
Kendi geliştirmiş olduğum bir asp.net web sitem var.
Dün bir saldırıya mağruz kaldı. Nasıl başarıldıysa SQL Server 2005'te duran veritabanımdaki bazı kayıtlar değiştirilmiş.

Hosting loglarımı incelediğimde

http://ajax.googleapis.com/ajax/services/ads/afs?q=Hacked%20Hacked

ile karşılaştım. Bazı kayıtları "Hacked" olarak değiştiren şey buymuş.
Bu konu hakkında önerisi ve bilgisi olanların düşüncelerini bekliyorum. Güvenlik olarak ne gibi açık vardır? Ne yapmam gerekir?

SQL Injection yeme ihtimalim yok çünkü doğrudan SQL sorgusu çalıştırmıyorum. Hepsi Stored Procedure ve parametrik. Global.asax dosyasında gelen requestlerde de injection kontolü yapıyorum. Acaba normal Textbox'larla script gönderilmiş olabilir mi? SQL Server'a bu şekilde sızmak mümkün mü ?

 

[blauzahn]

Injection ihtimalini tekrar gözden geçirerek prosedürlerine bakmanı öneririm. Injection saldırısını prosedürlerinde yaptığın bir hatadan dolayı yiyiyor olabilirsin. Ayrıca server da da virüs olma ihtimali yüksek...

 

[mrcoder]

Injection ihtimalini tekrar gözden geçirerek prosedürlerine bakmanı öneririm. Injection saldırısını prosedürlerinde yaptığın bir hatadan dolayı yiyiyor olabilirsin. Ayrıca server da da virüs olma ihtimali yüksek...

Kesinlikle Katılmakla birlikte bir diğeri kullandığın "Girdi" namına uygulamanda ne varsa Alfabetik olacak yeri alfabetik validatörlerle numerik yerleri numerik validatörlerle kontrol etmelisin. <% vb özel karakterler için her kontrolüne özel validatörler uygulamalısın. Bence bu durum linkten birşey göremedim ama Google spider'ı öyle birşey bulmuşsa datalarında XML değil sadece SQL de duruyorsa SQL injection söz konusudur.

Hürmetler
Volkan