ASP网站漏洞解析及黑客入侵防范方法（2）
作者：pizzaviat 来源：第八军团 发布时间：2007-09-26 12:44:00
5、特殊字符
攻击原理：输入框是黑客利用的一个目标，他们可以通过输入脚本语言等对用户客户端造成损坏；如果该输入框涉及数据查询，他们会利用特殊查询语句，得到更多的数据库数据，甚至表的全部。因此必须对输入框进行过滤。但如果为了提高效率仅在客户端进行输入合法性检查，仍有可能被绕过。
防范技巧：在处理类似留言板、BBS等输入框的ASP程序中，最好屏蔽掉HTML、JavaScript、VBScript语句，如无特殊要求，可以限定只允许输入字母与数字，屏蔽掉特殊字符。同时对输入字符的长度进行限制。而且不但要在客户端进行输入合法性检查，同时要在服务器端程序中进行类似检查。
6、数据库下载漏洞
攻击原理：在用Access做后台数据库时，如果有人通过各种方法知道或者猜到了服务器的Access数据库的路径和数据库名称，那么他也能够下载这个Access数据库文件，这是非常危险的。
防范技巧：
（1）为你的数据库文件名称起个复杂的非常规的名字，并把它放在几层目录下。所谓 “非常规”， 打个比方说，比如有个数据库要保存的是有关书籍的信息， 可不要给它起个“book.mdb”的名字，而要起个怪怪的名称，比如d34ksfslf.mdb， 并把它放在如./kdslf/i44/studi/的几层目录下，这样黑客要想通过猜的方式得到你的Access数据库文件就难上加难了。
（2）不要把数据库名写在程序中。有些人喜欢把DSN写在程序中，比如：
DBPath = Server.MapPath（“cmddb.mdb”）
conn.Open “driver={Microsoft Access Driver （*.mdb）}；dbq=” & DBPath
假如万一给人拿到了源程序，你的Access数据库的名字就一览无余了。因此建议你在ODBC里设置数据源，再在程序中这样写：
conn.open“shujiyuan”
（3）使用Access来为数据库文件编码及加密。首先在“工具→安全→加密/解密数据库”中选取数据库（如：employer.mdb），然后按确定，接着会出现“数据库加密后另存为”的窗口，可存为：“employer1.mdb”。
要注意的是，以上的动作并不是对数据库设置密码，而只是对数据库文件加以编码，目的是为了防止他人使用别的工具来查看数据库文件的内容。
接下来我们为数据库加密，首先打开经过编码了的 employer1.mdb，在打开时，选择“独占”方式。然后选取功能表的“工具→安全→设置数据库密码”，接着输入密码即可。这样即使他人得到了employer1.mdb文件，没有密码他也是无法看到 employer1.mdb中的内容。
0
投稿猜你喜欢
- 配置telnet服务：（1） 用vi命令编辑/etc/hosts.deny文件，放开telnet登录权限控制# vi /etc/hosts.
- 今天在《未来是湿的》书里看到一段很精彩的话。“群体能够施加一种迥异于个体的力量。共享的认识使得本来互不协调的群体开始以更
- 主要使用request对象的ServerVariables属性，通过它来获得环境变量的值。使用的语法为：Request.ServerVari
- 个人站长如何选择做站项目，说白了就是如何给自己的网站定位，确定自己的网站做什么主题，献给打算做站或者重新做站的站长以为他们选择做站主题提供个
- 问题：企业的网站建起来了，如何让它真正发挥作用呢？解决方案： 这里向你推荐的8个网站推广技巧让你的门前车水马龙！是不是所有的商业网站都可以一
- SEOer每天都在考量很多指标以维护目前的成绩，其中有几点是大可不必太操心的：越高的Pagerank越好? 在SEO这个行业刚刚出现的时候，
- 中纪委监察部开通举报网站后广受关注，昨日下午网站登陆一直不顺畅，热线电话也一直忙音；到了晚上，相关服务才恢复正常，网民估计是太多人登陆所致。
- 有没有可能在5R2版OS/400操作系统中设置一个具有SSL功能的FTP服务器?答案是肯定的。iSeries FTP服务器既支持TLS(传输
- 10月1日前一天，北京下了一场大雨，10月1日当天，天气晴朗，阳光明媚。“草堂‘’秋‘’睡足，窗外日迟迟”，心里默念着，在北京自己的小屋里，
- Sendmail作为免费的邮件服务器软件，已被广泛应用于Internet各种操作系统的服务器中。如：Solaris，HPUX，AIX，IRI
- 能不能在命令行模式下修改文件夹的访问权限或者共享权限？我用的Windows 2000的操作系统，手工修改方法我知道，但是想用更简便的方法，请
- 近日有不少人问虚拟主机好还是服务器合租好?其实，各有各的市场优势，两者将长期并存下去。大家都知道虚拟主机技术在起初刚发展的时候都被看作是个很
- Alexa排名尽管存在着大量的争议，但是在没有更好的工具之前，仍然是我们衡量一个网站流量状况和影响力的一个重要指标，周围朋友讨论最多的问题就
- 怎样提高网站流量?这是一个永恒的话题，也是最难解决的问题，其实大家完全可以静下心来，坚持做一些踏踏实实的工作的。网站的设计需要一些技术，而更
在2007年，我们根据中国发布商的需求发布了“允许的网站”和“广告在新窗口中打开”等功能，为了让 AdSense 广告更好地服务本地发布商，- 现今的网络，安全越来越受到大家的重视，在构建网络安全环境时，在技术手段，管理制度等方面都逐步加强，设置防火墙，安装入侵检测系统等等。但网络安
- “Microsoft Security Essentials”（微软安全必备）可以防御运行Windo
- 最易创业成功的方式有"网络、加盟、兼职、团队、大赛、概念、内部"等七种方式。 &nbs
- 自从开通这一功能后，陆续有不少WordPress爱好者问我博客上的“支持”、“反对”是怎么实现的。我想不少人都知道这一功能是把“牛#博”中的
- SEO网站排名优化成为网络营销中不可忽视的力量，SEO成功制胜点在于链接。链接的初衷，目的很单纯，链接多半是为了用来介绍其它连接给访问者，所
