ASP注入应用漏洞解决方法整理
发布时间：2007-09-17 12:42:00
1、ASP程序连接 SQL Server 的账号不要使用sa，或任何属于Sysadmin组的账号，尽量避免应用服务有过高的权限，应使用一个db_owner权限的一般用户来连接数据库。
2、WEB应用服务器与DB服务器分别使用不同的机器来存放，并且之间最好通过防火墙来进行逻辑隔离，因为除了有程序在探测 sa 没密码的SQL Server，SQL Server 本身及大量的扩展存储过程也有被溢出攻击的危险。
3、数据库服务器尽量不要与公网进行连接，如果一定要直接提供公网的连接存储，应考虑使用一个非标准端口并限制IP地址来进行连接。
4、SA一定要设成强悍的密码，尤其是SQL Server 2000以前的版本，在默认安装Sql时sa账号没有密码，而一般管理员装完后也忘了或怕麻烦而不更改密码。
5、改掉缺省的Web虚拟路径，不要使用IIS装好后预设的<系统盘>\Inetpub\WWWRoot路径，否则利用前面叙述的另存为方式，很容易在该目录下动手脚。
6、将平时不使用的但功能强大的扩展存储过程删除。
7、使用网络和主机IDS来监控重要系统的运行状况。
8、随时注意是否有新的补丁需要补上，目前SQL2000最新的补本包为SP4。
9、尽量的利用ASP 或者 ASP.NET 在服务器端检查与限制输入变量的类型与长度，过滤掉不需要的内容。要注意的是这些检查不只是要放在前端，后端也要检测。 在前端利用Html Input 标签的MaxLength属性来限制输入长度，或是以JScript编写程序来限定文本域的长度，但是只要将该网页另存为，修改内容后(一般只要改写Form的Action属性以及Input的MaxLength属性)，重新用浏览器打开更改过后的页面就可以躲过这些浏览器前端的检查。
10、使用容错语句，不要显示错误信息到前端，利用VBScript语法的On Error Resume Next来屏蔽SQL的出错提示，并搭配If Err.Number<>0 Then的错误处理方式，自行将错误重定向到适当的错误处理网页，如此系统将更稳固，且黑客也不容易透过错误信息来探知系统的内部运作方式。或者，也可以修改<系统盘>\Winnt\Help\iisHelp\common\500-100.asp预设网页，最简单的方式就是将它改名。例：
on error resume next
sql2="select * from dv_admin where username=’"&ReqStr("username")&"’"
0
投稿猜你喜欢
- 校内网在发blog时对插入图片过滤不严格，存在xss漏洞在发blog时将插入图片URL写为如下代码即可触发：javascript:windo
- ARP（Address Resolution Protocol，地址解析协议）是一个位于TCP/IP协议栈中的低层协议，负责将某个IP地址解
- 现在主机商是遍地开花，怎么去选择主机？一个网站，选择一个质量好的虚拟主机就有关重要。因为很多主机商，在购买之前，和购买后所能实现的东西是根本
- 12月11日消息，据国外媒体报道，据互联网安全和监视公司ScanSaf说，从11月末开始出现的一种新的和非常复杂的SQL注入攻击已经感染了1
- 英语网站宣传对于有的人说简单是因为他懂英语。对于有的人说难是因为他不会英语或者懂一点点英语，但是英语推广不只要懂英语还要懂推广的技术和长时间
淘宝推出B2C的淘宝商城已经有一段日子了，现在可能不少人在“淘宝”的同时也会偶尔到淘宝商城去逛逛。我们注意到淘宝商城跟淘宝个人网- Google Base搜索服务（腾讯科技配图） 北京时间10月10日消息，据国外媒体报道，谷歌各类生活信息搜索服务Google B
- 谷歌于北京时间5月20日晚上10:30点在旧金山Moscone会展中心举办Google I/O 2010大会第二天的会议，Google正式发
- 下面给大家介绍下Godaddy-Linux主机上安装的程序语言，这是我们的Godaddy-Linux主机服务器上的Web软件及版本。操作系统
- 目前，市场上有多种Internet邮件服务器产品供选择，这些邮件服务器产品价格各异，所提供的功能也有不少差别。对于网络管理员来说，如何根据自
- 3．你的目标目录被限制了访问权限。此项仅当该目录位于NTFS格式分区中时才可能出现。请在其上单击右键，选“属性”，再进入“安全”窗口，看列表
- WordPress 的页面管理功能长期以来并不讨用户或开发社区的好，以下8个页面管理插件适合于 WordPress 2.5 版，可以用来改变
- 内页的优化对于整站权重的提高具有很大的作用，所以大家一定要重视内页的优化。很多站长常挂嘴边的话就是做网站要以内容为王，创造高质量的内容。当然
- 如果域名品牌没构建好就建站的话那么你就失败了一半，回想刚开始注册域名的那情景，首先那个时候年轻冲动，初生牛崽不怕虎，很冲动地注册了一些自认为
- 最近总有朋友问我同一个问题：如何才能让discuz 7.2 发帖和回复的时候直接采用高级模式，而不是默认是那个弹窗模式，如下图所示：如果站长
- 某单位的局域网用Microsoft Exchange Server 5.5 英文版作为内部网信息协作平台，以Microsoft WINNT4
- 对于URL渠道，大家可能比较熟悉，当您有多个网站的时候，URL渠道可以跟踪不同网站的表现。而对于自定义渠道，可能有些人还不太熟悉。自定义渠道
- 目前Google AdSense已经在国内测试电子银行转账支付服务，目前只在小部分用户种进行测试。取得测试资格的用户将可以直接通过银行账户收
- 浏览器的漏洞和恶意脚本程序导致了cookie信息的泄漏，与cookie信息泄漏不同，URL会话信息被泄漏，则是完全出在HTTP协议上，除非修
- 1.前言：木马的危害，在于它能够远程控制你的电脑。当你成为“肉鸡”的时候，别人(控制端)就可以进入你的电脑，偷看你的文件、盗窃密码、甚至用你
