CA2356:Web 反序列化对象图中的不安全 DataSet 或 DataTable 类型

值

规则 ID

CA2356

类别

安全性

修复是中断修复还是非中断修复

非中断

原因

带有 System.Web.Services.WebMethodAttribute 或 System.ServiceModel.OperationContractAttribute 的方法具有可能引用 DataSet 或 DataTable 的参数。

此规则使用不同的方法来实现类似的规则 CA2355：Web 反序列化对象图中的不安全 DataSet 或 DataTable 类型，并将发现不同的警告。

规则说明

反序列化具有不受信任的输入，并且反序列化的对象图包含 DataSet 或 DataTable 时，攻击者可创建恶意有效负载来执行拒绝服务攻击。 有可能存在未知的远程代码执行漏洞。

有关详细信息，请参阅 DataSet 和 DataTable 安全指南。

如何解决冲突

如果可能，请使用实体框架，而不是 DataSet 和 DataTable。

使序列化的数据免被篡改。 序列化后，对序列化的数据进行加密签名。 在反序列化之前，验证加密签名。 保护加密密钥不被泄露，并设计密钥轮换。

何时禁止显示警告

在以下情况下，禁止显示此规则的警告是安全的：

已知输入受到信任。 考虑到应用程序的信任边界和数据流可能会随时间发生变化。

已采取了如何修复冲突的某项预防措施。

伪代码示例

冲突

using System;

using System.Data;

using System.Web.Services;

[WebService(Namespace = "http://contoso.example.com/")]

public class MyService : WebService

{

[WebMethod]

public string MyWebMethod(DataTable dataTable)

{

return null;

}

}

相关规则

CA2350:确保 DataTable.ReadXml() 的输入受信任

CA2351:确保 DataSet.ReadXml() 的输入受信任

CA2352:可序列化类型中的不安全 DataSet 或 DataTable 容易受到远程代码执行攻击

CA2353:可序列化类型中的不安全 DataSet 或 DataTable

CA2354:反序列化对象图中的不安全 DataSet 或 DataTable 可能容易受到远程代码执行攻击

CA2355:反序列化对象图中的不安全 DataSet 或 DataTable

CA2361：确保 DataSet.ReadXml() 的输入受信任

CA2362：自动生成的可序列化类型中不安全的数据集或数据表易受远程代码执行攻击