按问题类型分类的问题
　　1、使用 SQL 注入的认证旁路2
　　2、已解密的登录请求3
　　3、登录错误消息凭证枚举1
　　4、会话标识未更新2
　　5、跨站点请求伪造1
　　6、Missing "Content-Security-Policy" header 9
　　7、Missing "X-Content-Type-Options" header 9
　　8、Missing "X-XSS-Protection" header 9
　　9、查询中接受的主体参数1
　　10、启用了 Microsoft ASP.NET 调试2
　　11、缺少跨帧脚本编制防御1
　　12、已解密的 __VIEWSTATE 参数1
　　13、检测到应用程序测试脚本1
　　14、应用程序错误9
　　15、整数溢出3
　　问题修复
　　1．使用 SQL 注入的认证旁路
　　答： 登录、注册页面输入信息，过滤sql关键字或关键字符；
　　提交表单页面、查询页面的输入项，过滤sql关键字或关键字符。
　　// 关键字
　　string StrKeyWord = @"select|insert|delete|from|count(|drop table|update|truncate|asc(|mid(|char(|xp_cmdshell|exec master|netlocalgroup administrators|:|net user|""|or|and";
　　//关键字符
　　string StrRegex = @"[-|;|，|/|(|)|[|]|}|{|%|@|*|!|']";
　　佳的解决方法是 参数化查询，防止sql注入漏洞攻击。
　　2．已解密的登录请求
　　答：一种说法是使用SSL证书，暂时没有解决。
　　3．登录错误消息凭证枚举
　　答：用户登录时，如果输入错误的用户信息，好提示同一个错误消息提醒，比如：你的用户名或密码输入错误。提供枚举提示，容易被暴力破解。
　　4．会话标识未更新
　　答：登录之后更改会话标识符，主要用于登录页面。
　　参考方案： http://www.2cto.com/Article/201302/190228.html 测试没有效果
　　http://blog.itpub.net/12639172/viewspace-441971/ 测试ok
　　在登录页面，添加红线加粗部分
　　protected void Page_Load(object sender， EventArgs e)
　　{
　　if (!IsPostBack)
　　{
　　Session.Abandon();
　　//清除SessionId
　　Response.Cookies.Add(new HttpCookie("ASP.NET_SessionId"， ""));
　　txt_Fileld1.Focus();
　　}
　　}
　　5．跨站点请求伪造
　　答：每个页面请求时，判断主机和端口与配置文件信息是否一致。
　　网上参考方法：
　　1，利用referer判断，
　　但是用户有可能设置浏览器使其在发送请求时不提供 Referer，这样的用户也将不能访问网站。
　　2，在请求中添加 token 并验证
　　关键在于在请求中放入黑客所不能伪造的信息，并且该信息不存在于 cookie 之中，
　　可以在服务器端生成一个随机码，然后放在form的hidden元素中，form提交的时候在服务器端检查。
　　6．Missing "Content-Security-Policy" header
　　答： 在web.config 配置文件中添加如下响应头
　　<system.webServer>
　　<httpProtocol>
　　<customHeaders>
　　<add name="X-Content-Type-Options" value="nosniff"/>
　　<add name="X-XSS-Protection" value="1;mode=block"/>
　　<add name="X-Frame-Options" value="SAMEORIGIN"/>
　　<add name="Content-Security-Policy" value="default-src 'self'"/>
　　</customHeaders>
　　</httpProtocol>
　　</system.webServer>
　　7．Missing "X-Content-Type-Options" header
　　答： 在web.config 配置文件中添加如下响应头，添加节点见 第6 个问题
　　<add name="X-Content-Type-Options" value="nosniff"/>
　　8．Missing "X-XSS-Protection" header
　　答： 在web.config 配置文件中添加如下响应头，添加节点见 第6 个问题
　　<add name="X-XSS-Protection" value="1;mode=block"/>
　　9．查询中接受的主体参数
　　答：未解决
　　10．启用了 Microsoft ASP.NET 调试
　　答：应用程序发布后，修改配置文件节点compilation 的属性 debug为 false。
　　<compilation debug="false" targetFramework="4.0"/>
　　11．缺少跨帧脚本编制防御
　　答：在web.config 配置文件中添加如下响应头，添加节点见 第6 个问题
　　<add name="Content-Security-Policy" value="default-src 'self'"/>
　　注意，添加之后，可能会出现不同浏览器，出现兼容性问题，会有不同的反应。比如，极速模式会出现页面内部css无效。
　　12．已解密的 __VIEWSTATE 参数
　　答：在web.config 配置文件中添加 pages 的属性viewStateEncryptionMode 为Always。
　　<pages controlRenderingCompatibilityVersion="3.5" clientIDMode="AutoID" viewStateEncryptionMode="Always" />
　　13．检测到应用程序测试脚本
　　答： 在系统开发过程中，添加的测试页面，在程序发布前需要“从项目中排除”后再发布。
　　14．应用程序错误
　　答：出现应用程序错误页面。
　　如 ：Server Error in '/' Application.
　　一是解决属于开发人员的应用程序错误问题，二是在配置文件添加默认出错页面
　　<customErrors mode="On" defaultRedirect="~/error.html" />
　　15．整数溢出
　　答：情况一：针对请求的url中的参数， 检查其数据类型及边界范围。
　　如 /ApplyShow.aspx?id=99999999999999999999
　　情况二：登录页面按钮参数，在请求正文里，未找到原因？？？
　　http://localhost:83/login.aspx 实体： ImgbtnDl.y (Parameter)
　　16．WebResource.axd
　　WebResources.axd?d=xyz。
　　WebResource.axd有一个特点，便是会对错误的密文（即d=xyz中的xyz）产生500错误，而对正确的密文产生404错误，这便形成了足够的提示
　　参考资料：
　　http://www.2cto.com/Article/201009/75162.html
　　http://pan.baidu.com/share/link?shareid=3851057069&uk=2164275402
　　http://www.cnblogs.com/JeffreyZhao/archive/2010/09/25/things-about-padding-oracle-vulnerability-in-asp-net.html
　　http://www.cnblogs.com/shanyou/archive/2010/09/25/1834889.html Padding Oracle Attack 检测工具