ASP注入应用漏洞解决方法整理
发布时间：2007-09-17 12:42:00
1、ASP程序连接 SQL Server 的账号不要使用sa，或任何属于Sysadmin组的账号，尽量避免应用服务有过高的权限，应使用一个db_owner权限的一般用户来连接数据库。
2、WEB应用服务器与DB服务器分别使用不同的机器来存放，并且之间最好通过防火墙来进行逻辑隔离，因为除了有程序在探测 sa 没密码的SQL Server，SQL Server 本身及大量的扩展存储过程也有被溢出攻击的危险。
3、数据库服务器尽量不要与公网进行连接，如果一定要直接提供公网的连接存储，应考虑使用一个非标准端口并限制IP地址来进行连接。
4、SA一定要设成强悍的密码，尤其是SQL Server 2000以前的版本，在默认安装Sql时sa账号没有密码，而一般管理员装完后也忘了或怕麻烦而不更改密码。
5、改掉缺省的Web虚拟路径，不要使用IIS装好后预设的<系统盘>\Inetpub\WWWRoot路径，否则利用前面叙述的另存为方式，很容易在该目录下动手脚。
6、将平时不使用的但功能强大的扩展存储过程删除。
7、使用网络和主机IDS来监控重要系统的运行状况。
8、随时注意是否有新的补丁需要补上，目前SQL2000最新的补本包为SP4。
9、尽量的利用ASP 或者 ASP.NET 在服务器端检查与限制输入变量的类型与长度，过滤掉不需要的内容。要注意的是这些检查不只是要放在前端，后端也要检测。 在前端利用Html Input 标签的MaxLength属性来限制输入长度，或是以JScript编写程序来限定文本域的长度，但是只要将该网页另存为，修改内容后(一般只要改写Form的Action属性以及Input的MaxLength属性)，重新用浏览器打开更改过后的页面就可以躲过这些浏览器前端的检查。
10、使用容错语句，不要显示错误信息到前端，利用VBScript语法的On Error Resume Next来屏蔽SQL的出错提示，并搭配If Err.Number<>0 Then的错误处理方式，自行将错误重定向到适当的错误处理网页，如此系统将更稳固，且黑客也不容易透过错误信息来探知系统的内部运作方式。或者，也可以修改<系统盘>\Winnt\Help\iisHelp\common\500-100.asp预设网页，最简单的方式就是将它改名。例：
on error resume next
sql2="select * from dv_admin where username=’"&ReqStr("username")&"’"
0
投稿猜你喜欢
- 在Linux系统特别是服务器系统中常常会需要查看设备的硬件信息，这时候使用命令查看就显得非常方便。本文介绍几个在Linux系统中查看硬件信息
- 建立博客有助于打造卓越企业的核心要件。企业的核心需求如下所示：妙点子好产品能见度训练有素的团队，为企业的成功而努力不懈提升业务的创意，改善公
- 最近在做SEO优化，认识到编辑艺术在SEO里显得特别的重要，总结下面几点，与大家共享。一、充分利用百度1、向百度搜索引擎提交你的网站。不仅只
- 12月16日，国内知名CMS厂商PHP168发布了其最新版的V6.02增强版，这个版本跟上一个版本相比，共改进了27项功能。大家如果对能需要
2010年贺岁大作《仙域》除了耗时良久，斥资巨大，制作精良外，还有着丰富多彩的内容和五花八门的游戏方式。《仙域》拥有着无数别具风格的地图，更- 中秋节就快到了，提前祝各位站长节日快乐，站站顺利!如何利用中秋节推广网站，下面几条可能有点帮助，希望能为大家抛砖引玉。。带来流量上的提升。一
- Windows2000/XP的任务管理器是一个非常有用的工具，它能提供我们很多信息，比如现在系统中运行的程序（进程），但是面对那些文件可执行
- 刚安装玩Ubuntu，打开后上网没有网络连接 ，点击右上角的数据连接，显示已经启动联网，但是用火狐还是无法上网。解决方法如下: 先
- 百度与站长的斗争个人站长对于百度的SEO，方法有无穷种，单纯靠技术，百度一点办法都没有。于是百度增加了人工干预，打击了不少网站，作弊的，非作
- 后金融危机时代如何推动中国经济的转型和发展，专家开始把目光投入到电子商务领域。19日，中国企业评价协会理事长、国务院发展研究中心原副主任鲁志
- 1. 打开虚拟机系统的网络设置2. 设置代理为手动，并填写代理ip和端口这里我的代理软件用的是Socket协议，故只填 Socket 主机一
- 设置了用 mutt + msmtp + getmail 的组合管理邮件，将配置文件贴在这里作为备忘。.muttrcset locale =
- 自己接触优化有一段时日了，经常有不少朋友加我QQ，问我如何把他说的关键字做到百度或者谷歌首页第一位，怎么跟他们说呢，我只能告诉他们，网站排名
- 通过几个月的不断学习，总算对做网站及百度有了更深的了解，我们搞网络的哥们有大部分是靠百度吃饭的，流量依靠百度，赚钱来自联盟，除非你的站做到像
- Ad Manager是Google推出的网络广告管理平台。按照官方的介绍，它是一个托管式的广告管理解决方案，可以帮助用户对自己的广告资源进行
- IIS的相关设置：删除默认建立的站点的虚拟目录，停止默认web站点，删除对应的文件目录c:inetpub，配置所有站点的公共设置，设置好相关
- 熟悉Windows Server 2003的朋友，相信对RMS（权限管理服务）都不会陌生，它能够有效的保护我们的数字资产在相应授权范围之外不
- 做为全球最知名的开源程序之一的WordPress的强大是众所皆知的，WordPress几乎已经成了独立博客程序的代名词。而事实上，随着Wor
- 说到百度贴吧推广中国亚龙是最熟悉不过了，07年有两个月专职做这个，虽然现在没有以前在百度帖吧推广那么疯狂，但到现在也从未间断过。现在就和大家
- 前言服务器系统环境为：CentOS 6.5（final）；在服务器成功安装FFmpeg颇废了一番功夫，总结一下成功安装的过程，希望对大家有用
