Pertimbangan Keamanan Visualizer

Menulis Visualizer melibatkan kemungkinan ancaman keamanan. Tidak ada eksploitasi yang diketahui saat ini ada untuk potensi ancaman ini, tetapi pengembang harus menyadarinya dan mengambil tindakan pencegahan keamanan yang sesuai, seperti yang dijelaskan di sini, untuk melindungi dari eksploitasi di masa depan.

Visualizer debugger memerlukan privilege yang lebih tinggi daripada yang diizinkan oleh aplikasi kepercayaan parsial. Visualizer tidak akan dimuat ketika Anda dihentikan dalam kode dengan kepercayaan parsial. Untuk men-debug menggunakan visualizer, Anda harus menjalankan kode dengan kepercayaan penuh.

Nota

Keamanan Akses Kode (CAS) telah tidak digunakan lagi di semua versi .NET Framework dan .NET. Versi terbaru .NET tidak mematuhi anotasi CAS dan menghasilkan kesalahan jika API terkait CAS digunakan. Pengembang harus mencari cara alternatif untuk menyelesaikan tugas keamanan.

Komponen Debuggee yang Mungkin Berbahaya

Visualizer terdiri dari setidaknya dua kelas: satu pada sisi pemecah masalah (debugger) dan satu lagi pada sisi program yang sedang di-debug (debuggee). Visualizer sering disebarkan dalam rakitan terpisah yang dimasukkan ke dalam direktori khusus, tetapi mereka juga dapat dimuat dari debuggee. Ketika ini terjadi, debugger mengambil kode dari program yang sedang di-debug dan menjalankannya di dalam debugger dengan akses penuh.

Menjalankan kode sisi debuggee dengan kepercayaan penuh dapat menjadi masalah saat debuggee tidak sepenuhnya dipercaya. Jika visualizer mencoba memuat rakitan kepercayaan parsial dari debuggee ke debugger, Visual Studio akan menghentikan visualizer.

Namun, kerentanan kecil masih ada. Sisi debuggee mungkin dapat mengasosiasikan dengan sisi debugger yang dimuat dari sumber lain (bukan debuggee). Pihak debuggee kemudian dapat meminta sisi debugger yang tepercaya untuk melakukan tindakan mewakili pihak tersebut. Jika kelas sisi debugger tepercaya mengekspos mekanisme "hapus file ini", misalnya, debuggee kepercayaan parsial dapat memanggil mekanisme tersebut ketika pengguna memanggil visualizer-nya.

Untuk mengurangi kerentanan ini, perhatikan antarmuka yang diekspos oleh visualizer Anda.

Konten terkait

  • Last updated on