0

Bom tenho a seguinte duvida, após implementar o CORS em uma aplicação, vi que ainda fica uma brecha de segurança que é, caso uma aplicação(postman, curl) faça chamadas diretas no servidor elas ainda serão atendidas.

Gostaria de saber como posso fazer para bloquear as chamadas que não sejam das Url's permitidas diretas no servidor. Ou é possível implementar alguma outra validaçao direto no oauth para bloquear acessos que não sejam dessas URLs?

3
  • mas você quer restringir apenas a chamadas do próprio ambiente ou uma whitelist? Commented 3/12/2018 às 21:47
  • Mostre a sua implementação do CORS e se você quer restringir toda a aplicação, algumas controllers, actions ou métodos Commented 3/12/2018 às 21:51
  • Então, após algum tempo e um pouco mais de pesquisa, consegui realizar o bloqueio através de um filtro de i.p. Onde tenho uma whitelist e através de um delegating handler eu realizo a filtragem dos i.p's que podem acessar minha aplicação owin. Commented 4/12/2018 às 1:34

1 Resposta 1

0

Então consegui realizar o bloqueio a aplicação de outra maneira, através do I.P. Através de algumas pesquisas vi que essa era a melhor solução a aplicar no sistema, que é um sistema Owin.

Solução:

Segue a solução:

 public static string GetIP(this HttpRequestMessage request)
        {
            if (request.Properties.ContainsKey("MS_OwinContext"))
            {
                return HttpContext.Current != null ? HttpContext.Current.Request.GetOwinContext().Request.RemoteIpAddress : null;
            }
            if (request.Properties.ContainsKey("MS_HttpContext"))
            {
                return HttpContext.Current != null ? HttpContext.Current.Request.UserHostAddress : null;
            }
            return null;
        }

    public static bool AllowIP(this HttpRequestMessage request)
    {
        string whiteList= ConfigurationManager.AppSettings["whiteListIp"];
        if (!IsNullOrEmpty(whiteList))
        {
            string[] ipList = whiteList.Split(';');
            var ipAdress= request.GetIP();
            bool ipAllowed = ipList.Where(x => x.Trim().Equals(ipAdress, StringComparison.InvariantCultureIgnoreCase)).Any();
            return ipAllowed;
        }
        else return true;
    }

Filtro:

    public class AllowedIpFilter: DelegatingHandler
        {
            protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, 
CancellationToken cancellationToken)
            {
                if (request.AllowIP())
                {
                    return await base.SendAsync(request, cancellationToken);
                }
                return request.CreateErrorResponse(HttpStatusCode.Unauthorized, "Access denied!");
        }
    }
4
  • você poderia usar a anotações do CORS Commented 4/12/2018 às 12:31
  • Estou usando também, porém o CORS não bloqueia aplicativos que não utilizam o padrão CORS, ex: Postman, Chamadas de outras aplicações diretas no servidor, etc... Por isso adicionei esse filtro para aumentar a segurança de acesso a essa aplicação. Commented 4/12/2018 às 14:15
  • Mesmo se você restringir os endereços de origem? Commented 4/12/2018 às 15:38
  • 1
    Isso mesmo, os endereços são definidos, porém ainda podem ser acessados por outros meios que não implementem o padrão. Até onde li e entendi, me corrija se estiver errado, o CORS só funciona para aplicações ou sistema que implementem esse padrão, ou seja, navegadores. Commented 4/12/2018 às 18:06

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .