如何避免ASP程序上的安全漏洞

重庆帝一网络建设专家 http://www.diy88.com.cn

ASP网站的安全不仅仅是网管的事，编程人员也要在某些安全细节上注意，不然会给网站带来巨大的安全隐患。但如果编写程序的时候注意一点的话，还是可以避免的。避免ASP程序上的安全漏洞具体办法如下：

    1、用户名与口令被破解

    攻击原理：用户名与口令，往往是黑客们最感兴趣的东西，如果被通过某种方式看到源代码，后果是严重的。

    防范技巧：涉及用户名与口令的程序最好封装在服务器端，尽量少在ASP文件里出现，涉及与数据库连接的用户名与口令应给予最小的权限。出现次数多的用户名与口令可以写在一个位置比较隐蔽的包含文件中。如果涉及与数据库连接，在理想状态下只给它以执行存储过程的权限，千万不要直接给予该用户修改、插入、删除记录的权限。

    2、验证被绕过

    攻击原理：现在需要经过验证的ASP程序大多是在页面头部加一个判断语句，但这还不够，有可能被黑客绕过验证直接进入。

    防范技巧：需要经过验证的ASP页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。

    3、inc文件泄露问题

    攻击原理：当存在ASP的主页正在制作且没有进行最后调试完成以前，可以被某些搜索引擎机动追加为搜索对象。如果这时候有人利用搜索引擎对这些网页进行查找，会得到有关文件的定位，并能在浏览器中查看到数据库地点和结构的细节，并以此揭示完整的源代码。

    防范技巧：程序员应该在网页发布前对它进行彻底的调试；安全专家则需要加固ASP文件以便外部的用户不能看到它们。首先对.inc文件内容进行加密，其次也可以使用.asp文件代替.inc文件使用户无法从浏览器直接观看文件的源代码。inc文件的文件名不要使用系统默认的或者有特殊含义容易被用户猜测到的名称，尽量使用无规则的英文字母。

    4、自动备份被下载

    攻击原理：在有些编辑ASP程序的工具中，当创建或者修改一个ASP文件时，编辑器自动创建一个备份文件，比如：UltraEdit就会备份一个.bak文件，如你创建或者修改了some.asp，编辑器会自动生成一个叫some.asp.bak文件，如果你没有删除这个bak文件，攻击者可以直接下载some.asp.bak文件，这样some.asp的源程序就会被下载。

    防范技巧：上传程序之前要仔细检查，删除不必要的文档。对以BAK为后缀的文件要特别小心。

    5、特殊字符

    攻击原理：输入框是黑客利用的一个目标，他们可以通过输入脚本语言等对用户客户端造成损坏；如果该输入框涉及数据查询，他们会利用特殊查询语句，得到更多的数据库数据，甚至表的全部。因此必须对输入框进行过滤。但如果为了提高效率仅在客户端进行输入合法性检查，仍有可能被绕过。

    防范技巧：在处理类似留言板、BBS等输入框的ASP程序中，最好屏蔽掉HTML、javascript、VBScript语句，如无特殊要求，可以限定只允许输入字母与数字，屏蔽掉特殊字符。同时对输入字符的长度进行限制。而且不但要在客户端进行输入合法性检查，同时要在服务器端程序中进行类似检查。

    8、ASP木马

    已经讲到这里了，再提醒各位论坛站长一句，小心你们的文件上传：为什么论坛程序被攻破后主机也随之被攻击者占据。原因就在……对！ASP木马！一个绝对可恶的东西。病毒么？非也.把个文件随便放到你论坛的程序中，您老找去吧。不吐血才怪哦。如何才能防止ASP木马被上传到服务器呢？方法很简单，如果你的论坛支持文件上传，请设定好你要上传的文件格式，我不赞成使用可更改的文件格式，直接从程序上锁定，只有图象文件格式，和压缩文件就完全可以，多给自己留点方便也就多给攻击者留点方便。怎么判断格式，我这里收集了一个，也改出了一个，大家可以看一下：

    ’判断文件类型是否合格

    Private Function CheckFileExt (fileEXT)

    dim Forumupload

    Forumupload="gif,jpg,bmp,jpeg" Forumupload=split(Forumupload,",")

    for i=0 to ubound(Forumupload)

    if lcase(fileEXT)=lcase(trim(Forumupload(i))) then

    CheckFileExt=true

    exit Function

    else

    CheckFileExt=false

    end if

    next

    End Function

    ‘验证文件内容的合法性

    set MyFile = server.CreateObject ("Scripting.FileSystemObject")

    set MyText = MyFile.OpenTextFile (sFile, 1) ’ 读取文本文件

    sTextAll = lcase(MyText.ReadAll): MyText.close

    ’判断用户文件中的危险操作

    sStr ="8　.getfolder　.createfolder　.deletefolder　.createdirectory

    .deletedirectory"

    sStr = sStr & "　.saveas　wscript.shell　script.encode"

    sNoString = split(sStr,"　")

    for i = 1 to sNoString(0)

    if instr(sTextAll, sNoString(i)) ＜＞ 0 then

    sFile = Upl.Path & sFileSave: fs.DeleteFile sFile

    Response.write "＜center＞＜br＞＜big＞"& sFileSave &"文件中含有与操作目录等有关的命令"&_

    "＜br＞＜font color=red＞"& mid(sNoString(i),2) &"＜/font＞，为了安全原因，＜b＞不能上传。＜b＞"&_"＜/big＞＜/center＞＜/html＞"

Response.end

    end if

    next

    把他们加到你的上传程序里做一次验证，那么你的上传程序安全性将会大大提高.

    什么？你还不放心？拿出杀手锏，请你的虚拟主机服务商来帮忙吧。登陆到服务器，将PROG ID 中的"shell.application"项和"shell.application.1"项改名或删除。再将”WSCRIPT.SHELL”项和”WSCRIPT.SHELL.1”这两项都要改名或删除。呵呵，我可以大胆的说，国内可能近半以上的虚拟主机都没改过。只能庆幸你们的用户很合作，否则……只有删除