ASP网站漏洞解析及黑客入侵防范方法（2）
作者：pizzaviat 来源：第八军团 发布时间：2007-09-26 12:44:00
5、特殊字符
攻击原理：输入框是黑客利用的一个目标，他们可以通过输入脚本语言等对用户客户端造成损坏；如果该输入框涉及数据查询，他们会利用特殊查询语句，得到更多的数据库数据，甚至表的全部。因此必须对输入框进行过滤。但如果为了提高效率仅在客户端进行输入合法性检查，仍有可能被绕过。
防范技巧：在处理类似留言板、BBS等输入框的ASP程序中，最好屏蔽掉HTML、JavaScript、VBScript语句，如无特殊要求，可以限定只允许输入字母与数字，屏蔽掉特殊字符。同时对输入字符的长度进行限制。而且不但要在客户端进行输入合法性检查，同时要在服务器端程序中进行类似检查。
6、数据库下载漏洞
攻击原理：在用Access做后台数据库时，如果有人通过各种方法知道或者猜到了服务器的Access数据库的路径和数据库名称，那么他也能够下载这个Access数据库文件，这是非常危险的。
防范技巧：
（1）为你的数据库文件名称起个复杂的非常规的名字，并把它放在几层目录下。所谓 “非常规”， 打个比方说，比如有个数据库要保存的是有关书籍的信息， 可不要给它起个“book.mdb”的名字，而要起个怪怪的名称，比如d34ksfslf.mdb， 并把它放在如./kdslf/i44/studi/的几层目录下，这样黑客要想通过猜的方式得到你的Access数据库文件就难上加难了。
（2）不要把数据库名写在程序中。有些人喜欢把DSN写在程序中，比如：
DBPath = Server.MapPath（“cmddb.mdb”）
conn.Open “driver={Microsoft Access Driver （*.mdb）}；dbq=” & DBPath
假如万一给人拿到了源程序，你的Access数据库的名字就一览无余了。因此建议你在ODBC里设置数据源，再在程序中这样写：
conn.open“shujiyuan”
（3）使用Access来为数据库文件编码及加密。首先在“工具→安全→加密/解密数据库”中选取数据库（如：employer.mdb），然后按确定，接着会出现“数据库加密后另存为”的窗口，可存为：“employer1.mdb”。
要注意的是，以上的动作并不是对数据库设置密码，而只是对数据库文件加以编码，目的是为了防止他人使用别的工具来查看数据库文件的内容。
接下来我们为数据库加密，首先打开经过编码了的 employer1.mdb，在打开时，选择“独占”方式。然后选取功能表的“工具→安全→设置数据库密码”，接着输入密码即可。这样即使他人得到了employer1.mdb文件，没有密码他也是无法看到 employer1.mdb中的内容。
0
投稿猜你喜欢
- Linux中系统服务却越来越多，而且似乎也没有哪里专门介绍了每个服务的功能，搞得我们不知道机器启动了什么服务，是否达到了最优化的启动模式。所
- 做过网站推广的朋友们都会经常用软文推广的方式，把自己一些网站推广或者网站运营的方法写出来与大家共享，并在文章中某些地方写上自己要推广的网站的
百度将赞助商的网站与搜索结果混为一体已经不是一天两天的事情了，这点在很久以前就为用户说诟病。尽管这对其市场占有率并不会带来多大的消极影响，但- 为了庆祝今天ID解封,特发一篇小教程,针对新手的,讲错的地方欢迎指正,下面开始教程. 在网上流传很广,坛子里也有几个人都转过,这里
- 笔者见到有些站长在问，如何去掉有无新帖版块图标，并为版块设置自己喜欢的个性化图标，在此特意把方法写出来，希望可以帮到有需要的站长。以 Dis
- linux注释crontab文件及crontab执行sh的坑原来，在Linux下写了很多crontab，来定时执行某些任务，现在有以下需求：
- 进程描述进程描述符（task_struct）用来描述进程的数据结构，可以理解为进程的属性。比如进程的状态、进程的标识（PID）等，都被封装在
- 今年8月搜索巨头谷歌推出更新版的“谷歌地球(Google Earth)”浏览系统，并且增加了“谷歌太空”(Google Sky)新功能。让用
- 新年的钟声在耳际回响，东方国度的人们最早引来了新年的曙光!2008年是收获的一年，中华儿女心系祖国，在党的正确领导下，一步一个脚印，努力拼搏
- 我做互联网这个行业有5年了，一直做网站建设和推广销售。真正拥有自己的网站是去年。那时我是自己出来单干了，还有一个代理商赠送的一个代理平台，严
- CMS系统促进着Web2.0的发展，根据权威机构的调查，一个网站80％左右的流量都是来源于搜索引擎的，所以一个网站到底做的好与坏不在于网站建
- 一在google和baidu查询您网站的主题，看看排名第一页的网站的反向链接。查询一个网站的反向链接查询方式：link：网站网址。然后联系这
- 2009年5月19日21时起，在中国北京、天津、上海、河北、山西、安徽、湖北、广东、广西等省陆续出现互联网网络故障，使用电信网络服务的网民上
- 怎样更改GoDaddy主机的FTP账户密码呢？如果有必要，你可以使用Hosting Control Center来更改你的托管帐户的密码。这
- 使用多个web服务器实现负载均衡，为了保持前端web服务器上资源的一致性可以通过rsync在主服务器上(可写入数据)将更新过的文件同步到其他
- 本文是谷歌关键字广告(Google AdWords)专家Amanda Kelly 在“事半功倍做营销”系列讲座中的第二讲。在当前的经济环境下
- 首先了解什么是IIS连接数。IIS连接数指并发连接数，什么意思呢？ 要分几种情况：（以100M空间50人在线为例）A 用户单点下载你的文件，
- 拷贝数据远程拷贝数据的时候，我们一般使用rsync命令，但是如果拷贝大量的小文件，会导致rsync的传输速度慢。使用tar pv lz4打包
- 尊敬的QQ用户，经过持续努力，QQ2010 Beta版本即将与广大用户见面，在此，我们诚邀您报名参与QQ最新版本的优先体验。QQ2010 B
- 假设VPS的IP是58.130.17.168，有两个域名指向该IP，分别是domain1.com, domain2.com,&nb
