如何缓解ASP.NET Web Forms应用中Captcha.aspx的HTTP参数污染漏洞

近期使用Tenable Web应用扫描工具对ASP.NET Web Forms应用扫描时，检测到中等风险的**HTTP Parameter Pollution（HTTP参数污染）**漏洞，指向应用中的Captcha.aspx模块。该模块为Google提供的第三方工具，未显式使用，仅在Web.config中有相关配置。自定义验证码控件的Render代码如下：

protected override void Render(System.Web.UI.HtmlTextWriter writer)
{
    writer.Write("<Div><Table>");            
    writer.Write("<tr><td><img src=\"CaptchaImage.aspx?guid=" + _captcha.UniqueID + "\"></td></tr>");
    writer.Write("<tr><td><input style='width: 120px;' name=\"" + this.UniqueID + "\" type=text></td></tr>");
    writer.Write("</Table></Div>");
}

缓解方案 #

1. 升级第三方Captcha组件 #

既然Captcha.aspx是Google提供的第三方工具，优先检查官方是否有更新版本。HPP漏洞通常源于组件未对重复参数做校验，官方修复版本一般会新增参数唯一性验证逻辑，避免同一参数多次提交时触发异常或绕过校验。

2. 配置Web.config强化参数校验 #

在ASP.NET Web Forms的Web.config中，修改httpRuntime和pages节点，开启严格的请求参数校验：

<configuration>
  <system.web>
    <httpRuntime requestValidationMode="4.5" requestPathInvalidCharacters="&lt;,&gt;,*,%,&amp;,\,?" />
    <pages validateRequest="true" />
  </system.web>
</configuration>
- `requestValidationMode="4.5"`：启用.NET 4.5+的严格请求验证，自动拦截包含重复参数的恶意请求
- `validateRequest="true"`：开启页面级请求验证，对输入参数做基础合法性检查

3. 在验证码处理逻辑中添加参数校验 #

针对CaptchaImage.aspx的请求，在其Page_Load方法中主动校验guid参数是否重复：

protected void Page_Load(object sender, EventArgs e)
{
    // 检查guid参数是否被多次提交
    if (Request.QueryString.GetValues("guid")?.Length > 1)
    {
        Response.StatusCode = 400;
        Response.Write("Invalid request parameters");
        Response.End();
        return;
    }
    // 原有验证码生成逻辑...
}

同时修改自定义控件的Render方法，使用HttpUtility.UrlEncode对参数值编码，避免潜在注入风险：

protected override void Render(System.Web.UI.HtmlTextWriter writer)
{
    string encodedGuid = HttpUtility.UrlEncode(_captcha.UniqueID);
    string encodedInputName = HttpUtility.UrlEncode(this.UniqueID);
    
    writer.Write("<Div><Table>");            
    writer.Write($"<tr><td><img src=\"CaptchaImage.aspx?guid={encodedGuid}\"></td></tr>");
    writer.Write($"<tr><td><input style='width: 120px;' name=\"{encodedInputName}\" type=text></td></tr>");
    writer.Write("</Table></Div>");
}

4. 移除未使用的组件配置 #

如果Captcha.aspx模块确实未被应用显式使用，直接在Web.config中删除相关配置，并移除对应文件，从根源消除漏洞风险。

内容的提问来源于stack exchange，提问作者James