C# 安全風險

Question

我正在開發一個小型 C# 應用程序，它充當某個網絡協議 (myprotocol://blafoobar) 的處理程序。 因此，每當用戶單擊此類 Web 鏈接時，Windows 都會調用該處理程序。 然后它解析 URI 並執行某些操作。

這當然可能是一個安全風險。 一種可能的攻擊向量是，攻擊者向用戶提供惡意鏈接：“myprotocol://someevilstuff”。 然后，由於緩沖區溢出等，URI 的解析會導致我的應用程序暴露一些意外行為（<-我不是這方面的專家）。

所以我有一堆問題：

• C# 是否通常對緩沖區溢出等更健壯（因為總是檢查數組邊界）？
• C# 字符串類是否相當安全（拆分等）？
• 是否有一些我應該注意/避免的一般建議？

Answer 1

C#通常對緩沖區溢出更健壯嗎

是的，就像編寫好的 C# 代碼一樣 - 基本上你必須一直檢查分配的內存。 也就是說，除非您的應用程序明確違反信任邊界（不安全的代碼、調用本機庫），否則您是非常安全的。 100% 不太可能，但很多人都在努力修復那里的每個錯誤。

C# 字符串類是否相當安全（拆分等）？

是的。

是否有一些我應該注意/避免的一般建議？

不是真的在技術層面上。 在邏輯層面上 - 使可能的攻擊向量盡可能小，即不要只是刪除東西等並驗證輸入是否有意義。