ASP.NET Misconfiguration: Weak Password Protection

采用明文的形式或使用弱加密存储密码会危及系统安全。

ASP.NET 应用程序可以将用户名和密码对存储在 ASP.NET 应用程序 web.config 文件的 <credentials> 元素中，支持明文、MD5 和 SHA1 密码格式。

任何有权访问应用程序配置文件的用户都能访问采用明文的形式或使用弱加密算法存储的密码。其中可能包括托管应用程序的计算机或应用程序所在的源代码存储库。

示例 1：以下 web.config 条目采用明文的形式存储密码的方式有误。

<configuration>
  <system.web>
    <authentication>
      <forms protection="All">
	   <credentials passwordFormat="Clear">
   		<user name="user1" password="my_password"/>
		<user name="user2" password="my_password1"/>
        </credentials>
    	 </forms>
    </authentication>
  </system.web>
</configuration>

ASP.NET 支持以三种格式存储的凭据密码，通过 configuration/system.web/authentication/forms/credentials 元素的 passwordFormat 属性指定。此属性可能的值包括：

Clear - 表示采用明文的形式存储密码（最不安全）
MD5 - 表示存储密码的 MD5 散列
SHA1- 表示存储密码的 SHA1 散列（最安全）

虽然 MD5 散列的安全性高于明文，但研究人员已发现针对 MD5 散列算法的强力攻击。目前，SHA1 散列仍可提供合理的保护来抵御此类攻击。