asp基础入门篇(DOC格式)-第14部分

按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！


Samples/code。asp。如果有人把这个程序上传的服务器，而服务器端没有任何防范措施的话，他就可以很容易地查看他人的程序。
例如　：
　　code。asp？source=/directory/file。asp
　　　　　　　2、使用的　ACCESS　mdb　数据库可能被人下载一般来说在提供　asp　权限的免费主页服务器上不可能提供代为设定　DSN　的服务，因此　asp　程序使用的数据库通常都局限在使用　mdb　库，而　mdb　远端数据库所在的位置是使用我们在第十四期中讲到过的　DSN…less　方法直接在　asp　中指定的，方法如下　：
《　％connstr　=　〃DBQ=〃＋server。mappath（〃database/source。mdb〃）＋〃；DefaultDir=；DRIVER=｛Microsoft　Access　Driver　（*。mdb）｝；DriverId=25；FIL=MS　Access；ImplicitmitSync=Yes；MaxBufferSize=512；MaxScanRows=8；PageTimeout=5；　SafeTransactions=0；Threads=3；UsermitSync=Yes；〃％》
　　　　　　　正如前文所言，在这种情况下　mdb　库很可能被他人下载，从而造成诸如密码等的泄露。
　　　　　　　所以，作为　webmaster　应该采取一定的措施，严禁　code。asp　之类的程序（似乎很难办到　；　但可以定期检索特征代码），限制　mdb　的下载。
　　　　　　　3、来自强大的　filesystemobject　组件的威胁
　　　　　　　IIS3、　IIS4　的　ASP　的文件操作都可以通过　filesystemobject　实现，包括文本文件的读写目录操作、文件的拷贝改名删除等，但是这个强大的功能也留下了非常危险的〃后门〃。利用　filesystemobjet　可以篡改下载　fat　分区上的任何文件。即使是　ntfs　分区，如果权限没有设定好的话，同样也能破坏，一不小心你就可能遭受〃灭顶之灾〃。遗憾的是很多　webmaster　只知道让　web　服务器运行起来，很少对　ntfs　进行权限设置，而　NT　目录权限的默认设置偏偏安全性又低得可怕。因此，如果你是　Webmaster，作者强烈建议你密切关注服务器的设置，尽量将　web　目录建在　ntfs　分区上，目录不要设定　everyone　full　control，即使是是管理员组的成员一般也没什么必要　full　control，只要有读取、更改权限就足够了。
　　　　　四、　ASP　应用程序可能面临的攻击过去许多　Internet　上　CGI　写的留言本或　BBS　是把客户输入的留言变为一个变量，然后再把这个变量插入到显示留言的　HTML　文件里，因此客户输入的文本如要在　HTML　文件里显示就得符合　HTML　标准，而　CGI　程序里一般都加入了特定的　HTML　语言。当客户输入内容，插入　HTML　文件时，即同时插入到了头尾　HTML　语句中，如：
　　　《　font》客户输入的变量　《　/font》但如果把前后的　HTML　标记给敝屏了，就可以做很多事情了。
　　如输入时打上：
　《　/font》符合　HTML　标准的语句　《　font》前后的　《　font》是用来敝屏　CGI　中的　HTML　语句用的。插入到　HTML　文件里的就变成了：
　《　font》《　/font》符合　HTML　标准的语句　《　font》《　/font》由于这样一个特性，使得写个　javascript　的死循环变得非常容易，只要在输入框中输入：
　《　a　href=〃URL〃　onMouseover=〃while（1）｛window。close（'）｝〃》或　《　a　herf=〃URL〃　onMousever=〃while（ture）｛window。close（'）｝〃》
　　　　　　那么就能让其他查看该留言的客户的浏览器因死循环而死掉。　ASP　开发的程序同样可能存在这个问题，因此当你用　asp　编写类似程序时应该做好对此类操作的防范，譬如可以写一段程序判断客户端的输入，并屏蔽掉所有的　HTML、　Javascript　语句。
　　　　　看完本期后，如果你非常的震惊，那么你必须彻底对你现有的网站或　asp　程序进行一翻检测，看看是否存在上述漏洞。如果你对文中所谈到的漏洞都有所了解并已有足够的对策，那么在恭喜你的同时，还是要提醒你经常查看你的网站和　asp　程序，如果你有数据库也应该经常查看，以防他人利用一些我们未知的漏洞进行攻击。最后，如果你对本文所谈论的　asp　安全性问题有什么独特的见解，或对漏洞有新的发现，希望能来信同我探讨。

？？

？？

？？

？？














………………………………………………………………………用户上传之内容结束……………………………………………………………………………………