请问web.config 会泄露吗?

Question

今天在一个群里面有人说我的web.config 会被别人知道,但是没有告诉我通过什么手段请问下 web.config 有可能泄露吗?
只知道.NET 会自动拒绝web.config的访问那么泄露可能的情况是什么?程序泄露,IIS,还是服务被黑了...
请各位指教一下,安全这块不大懂...!!! 多谢..多谢...
webconfig泄露

Answer 1

web.config的关键节点未加密前是明文。
被人看到了就会泄露，
看到方式较多，你所说的几种程序都有可能。
如果仅仅是正常的访问网站是不会泄露。
当然，对于IIS来说，除IIS本身的某些缺陷可能会导致泄露外，
对于IIS的不当设置也可能会导致泄露。
对于关键性的数据最好不要写入web.config，对于必须要写放的数据可以对指定的节点加密。

Answer 2

IIS端禁用掉目录访问权限
服务端，对数据库采用WINDOWS身份验证其他敏感信息彩加密处理，程序中解密，密钥保存在数据库中

Answer 3

IIS端禁用掉目录访问权限
服务端，对数据库采用WINDOWS身份验证
config是明文，，但不会泄露，，config包括数据库密码，微软也知道请相信官网，请相信前辈

Answer 4

如果服务器被黑了，被人直接控制了服务器呢？
web.config还不会泄露吗？

Answer 5

在服务器安全的情况下，
web.config的安全很大程度是依赖IIS的，
你就敢保证IIS不存在未知的隐患呀。

Answer 6

  还是权限问题，看看你web.config的文件夹权限，
  设置只有本机超级管理员才可以操作的

Answer 7

其实.net已经自动拒绝对web.config文件的访问
但是如果管理权限被别人拿到，那就没办法了。

Answer 8

一般情况下，别人要看到你web.config的内容，就要入侵服务器了。
如果要谈安全，不能是单方面的，安全是个整体。
如果其他方面不安全，只是保证了web.config的安全没有意义

Answer 9

要么加密web.config中的连接字符串，要么把连接字符串写在一个类里，并把其对应的dll加密混淆。

Answer 10

下载web.config的方法。是10年的。不过到12年的时候还有部分网站依然可以利用这个漏洞。

Answer 11

如果你使用的是IIS7+的话，request filtering的默认设置里就是屏蔽外界访问你的web.config的。如果是IIS6的话urlscan也可以帮你屏蔽外界web.config的请求。