Identificadores específicos de hardware e dispositivos são mantidos persistentes entre limpezas de dados e redefinições de fábrica. Não se deve confiar nesses identificadores para gerar identificadores exclusivos usados para autorizar ou autenticar usuários.

Além disso, o vazamento de identificadores universalmente exclusivos, que podem ser associados a informações pessoais, representa uma ameaça à segurança e à privacidade do usuário.

Certas estruturas, como o AngularJS, limitam os protocolos que podem ser definidos para links que levam a outros sites e imagens. Isso tem o objetivo principal de impedir a execução do JavaScript embutido, o que pode resultar em vulnerabilidades de execução de scripts entre sites dentro do aplicativo.

Exemplo 1: O código a seguir altera a lista de permissões com o padrão de protocolos no AngularJS, de forma a também permitir elementos HTML de imagem para liberar um JavaScript embutido.

myModule.config(function($compileProvider){
    $compileProvider.imgSrcSanitizationWhitelist(/^(http(s)?|javascript):.*/);
});

O Strict Contextual Escaping (SCE) é um mecanismo em aplicativos AngularJS que ajuda a proteger o aplicativo contra invasores. Isso pode impedir muitos vetores de ataque em diferentes tipos de vulnerabilidades. A proteção mais proeminente é contra certos tipos de ataques de cross-site scripting. Neste aplicativo, este mecanismo de proteção está especificamente desabilitado.

Exemplo 1: Nesse exemplo, desabilitamos o SCE em um módulo.

myModule.config(function($sceProvider){
  $sceProvider.enabled(false);
});

O código define DangerousEnableCompression como true, que habilita a extensão WebSocket 'permessage-deflate'. Ao habilitar essa compactação em uma conexão criptografada, você abre o aplicativo para ataques CRIME e BREACH.

Exemplo 1: O código a seguir define DangerousEnableCompression como true:

    app.Run(async context => {
      using var websocket = await context.WebSockets.AcceptWebSocketAsync(new WebSocketAcceptContext() { DangerousEnableCompression = true });
      await websocket.SendAsync(...);
      await websocket.ReceiveAsync(...);
      await websocket.CloseAsync(WebSocketCloseStatus.NormalClosure, null, default);
    });
    

Aplicativos Microsoft ASP.NET podem representar o contexto de segurança do usuário atual ou o processo que os invocou a fim de executar operações privilegiadas. Embora contextos de representação sirvam a várias finalidades úteis, como reduzir o número total de tentativas de autenticação que devem ser feitas, um programa que mantém privilégios elevados desnecessariamente representa um risco para a segurança geral do sistema. Se um invasor explorar outra vulnerabilidade no programa enquanto este estiver sendo executado em outro contexto de segurança, qualquer operação não autorizada que esse invasor realizar será executada com os privilégios correspondentes.

Exemplo 1: O exemplo de código a seguir representa um padrão de uso típico de representação de credenciais usando o método WindowsIdentity.Impersonate().

using System.Security.Principal;
...

//Get the identity of the current user
IIdentity contextId = HttpContext.Current.User.Identity;
WindowsIdentity userId = (WindowsIdentity)contextId;

//Temporarily impersonate
WindowsImpersonationContext imp = userId.Impersonate();

//Perform tasks using the caller's security context
DoSecuritySensitiveTasks();

//Clean up and restore our old security context
impersonate.Undo();

O código no Example 1 personifica o contexto de segurança do usuário atual e o utiliza para realizar uma operação privilegiada. Depois de chamar DoSecuritySensitiveTasks(), o código tenta restaurar o contexto de segurança original. No entanto, se DoSecuritySensitiveTasks() lançar uma exceção, o método Undo() nunca será chamado, e o programa continuará a usar o contexto de segurança representado.

A validação de eventos é um recurso de segurança do ASP.NET que valida os controles de eventos em solicitações de postback para garantir que os controles sejam os mesmos de quando foram renderizados durante o carregamento inicial da página. Quando esse recurso está desativado, os invasores podem realizar ataques de falsificação de solicitação entre sites com controles de eventos adulterados, levando a acessos não autorizados, ataques de script entre sites etc.

Exemplo 1: A configuração do aplicativo Web a seguir desativa a validação de eventos.

...
<system.web>
    ...
    <pages enableEventValidation="false">
    ...
    </pages>
</system.web>

Exemplo 2: A diretiva de página do servidor a seguir desativa a validação de eventos.

<%@ Page ... EnableEventValidation="false" %>

Esse aplicativo ASP.NET Core não configura controladores ou métodos de controlador de natureza confidencial para serem acessíveis apenas por meio de uma conexão segura.