网站运营
位置：首页>> 网站运营>> ASP注入应用漏洞解决方法整理（2）

ASP注入应用漏洞解决方法整理（2）

　　发布时间：2007-09-17 12:42:00　

标签：漏洞,注入

11、使用过滤和防注入函数来过滤掉一些特殊的字符，防注入函数示例：


Function ReqNum ( StrName ) /* 数值型变量过滤 */ 
ReqNum = Request ( StrName ) 
if Not isNumeric ( ReqNum ) then 
Response.Write "参数必须为数字型!" Response.End 
End if 
End Function 
Function ReqStr ( StrName ) /*字符型和搜索型过滤 */ 
ReqStr = Replace ( Request(StrName), "’", "’’" ) /* 用replace函数屏蔽单引号 */
End Function
以下三句SQL语句，说明一下调用方法： 
1.SQL="select * from dv_admin where username=" & ReqNum("username")2.SQL="select * from 
dv_admin where username =’" & 
ReqStr(" username ") & "’" 3.SQL="select * from username where UserName like ’％" & ReqStr
(" username ") & "％’" 


12、若想更换SQL Server 的执行服务账号,则该帐号需要以下的权限：
Log On Locally
Log On as a Batch
Access this computer from the Network
Log on as service
Replace a process level token
Act as part of the operating system
Increase quotas
 

13、使用Microsoft基线安全性分析器（MBSA）来评估服务器的安全性，并按照它的建议来更改系统的设定。

MBSA 是一个扫描多种Microsoft产品的不安全配置的工具，包括SQL Server和Microsoft SQL Server 2000 Desktop Engine(MSDE 2000)。它可以在本地运行，也可以通过网络运行。

该工具针对下面问题对SQL Server安装进行检测：

(1) 过多的sysadmin固定服务器角色成员。 　　

(2) 授予sysadmin以外的其他角色创建CmdExec作业的权利。 　　

(3) 空的或简单的密码。 　　

(4) 脆弱的身份验证模式。 　　

(5) 授予管理员组过多的权利。 　　

(6) SQL Server数据目录中不正确的访问控制表(ACL)。 　　

(7) 安装文件中使用纯文本的sa密码。 　　

(8） 授予guest帐户过多的权利。 　　

(9) 在同时是域控制器的系统中运行SQL Server。 　　

(10) 所有人（Everyone）组的不正确配置，提供对特定注册表键的访问。 　　

(11) SQL Server 服务帐户的不正确配置。 　　

(12) 没有安装必要的服务包和安全更新。

第一页 上一页 1
2
0
投稿

猜你喜欢

手机版 网站运营 asp之家 www.aspxhome.com