応答でデータ改ざんを防止する

Question

Web Application Hacker's Handbookを読んでいるうちに、自分のWebサイト（ASP.NET MVC3）で小さなテストを試みました。

私は2つのフィールドを含むモデルを持っています。最初のフィールドはが無効になっていますドロップダウンリストです。 テキストフィールドが有効です。 最初のフィールドはView.chtmlから無効にされ、 new {disabled="disabled"}がパラメタとして追加されました。

ここに私に何が起こったのですか、私はBurp Suiteツールをプロキシとして実行し、応答をトラップしました。 レスポンスで、HTMLからdisabled="disabled"属性を削除してから、レスポンスをブラウザに転送しました。確かに、ページには2つの有効なフィールドがあります。

質問は、などのツールを使用して改ざんフィールドを防ぐ方法です。Burp Suite？

Answer 1

できません。その点については、コントローラで受信したポストバックがブラウザでの表示結果であることを確認できません。何かスクリプトを使ってほしいものを投稿するだけで簡単ですし、ハッカーが頻繁に行うことです。

最終行はです。決して入力を信頼せず、常にそれが許容されることを検証する。