站点安全简单防范 [复制链接]

今天写一篇关于站点安全的文章。 O<`N0
 
  很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ PL|ea~/  
  所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ {9XN\v=$"*  
  关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： l9Av@|  
<% 0{'m":D9  
'''''''''''''''''''''''''''''''''''''''''''''''' LOEiV  
'ASP通用防注入代码 a7>^^? |  
'您可以把该代码COPY到头文件中.也可以单独作 ]<BT+6L  
'为一个文件存在,每次调用使用 "Ng%"N
z  
'''''''''''''''''''''''''''''''''''''''''''''''' &5y |Q?  
Dim GetFlag Rem(提交方式) 5F78)qu6N  
Dim ErrorSql Rem(非法字符) sTu]C +A  
Dim RequestKey Rem(提交数据) M:*)l(  
Dim ForI Rem(循环标记) 8U)*kmq  
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) 0: N
w8J  
ErrorSql = split(ErrorSql,"~") {00Qg{;K|  
If Request.ServerVariables("REQUEST_METHOD")="GET" Then 0K(&EpVE  
GetFlag=True ~f6Q  
Else NX&Z=ObHu}  
GetFlag=False P,s
>xM  
End If M\A6;dz'  
If GetFlag Then Rn$TYCO  
For Each RequestKey In Request.QueryString nu `R(2/  
For ForI=0 To Ubound(ErrorSql) 7
PbwCRg  
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then c $8M}q:X  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>"
sh/4ui{  
Response.End B%I<6E[D  
End If Y`*
h#{|  
Next x yrlR;Sk  
Next u#+Is4Vh  
Else C <d]0)  
For Each RequestKey In Request.Form S[
e> 8  
For ForI=0 To Ubound(ErrorSql) !y&<IT(\4  
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then -PCFOm"  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" j" 5 +"j  
Response.End yIu_DFq%  
End If qQwf#&  
Next or`D-x)+@  
Next @M*oq2U;  
End If 7S{yKS  
%> XD%GNZ  
------------------------------------------------------------------------------------------------------------------- \'6%Ld5km  
?s@=DDB\u  
第二个： $}JWJ\-]  
uC|bC#;  
<% `PtfPt<{  
'防止注入 `hDH7u!U.  
dim qs,errc,iii ROJ=ZYof  
qs=lcase(request.servervariables("query_string")) l@5kw]6  
'response.write(qs) f~?kx41dq  
dim deStr(18) 97pfMk1_  
deStr(0)="net user"
f<;eNN  
deStr(1)="xp_cmdshell" gn:&akg  
deStr(2)="/add" &9EcgazV
 
deStr(3)="exec%20master.dbo.xp_cmdshell" T2_b5j3i  
deStr(4)="net localgroup administrators" 2f5YkmGc";  
deStr(5)="select" W.c>("gC  
deStr(6)="count" 3~\,VO''  
deStr(7)="asc" Z_4|L+i<{  
deStr(8)="char" 629ogJo8  
deStr(9)="mid" 0"l`M5-KP  
deStr(10)="'" ig^x%!;  
deStr(11)=":" bl- D{)X  
deStr(12)="""" J
|u_45<  
deStr(13)="insert" O$7r)B6Cs  
deStr(14)="delete" M%bD7naBq  
deStr(15)="drop" :j`4nXm  
deStr(16)="truncate" 98*C/=^TH{  
deStr(17)="from" Tq,dlDDOR  
deStr(18)="%" hz+c]K  
errc=false TR9dpt+T  
for iii= 0 to ubound(deStr) I`nC\%g  
if instr(qs,deStr(iii))<>0 then Eih6?Lpu  
errc=true x~E\zw  
end if ;0o% hx  
next q4SEvP}fLx  
if errc then a(AYY<g  
Response.Write("对不起，非法URL地址请求!") |qf ef&  
response.end $"g'C8  
end if MDoV84Fh  
%> l\
37/Z  
hm0MO,i"  
  注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！

这里是讨论邮件防病毒与防垃圾邮件的版区。

N_E)f