今天写一篇关于站点安全的文章。 X 5
oW[
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ I ;11j
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ "TH-A6v1
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： \,cKt_{ u
<% E ztz ~oFo
'''''''''''''''''''''''''''''''''''''''''''''''' ^s(X VVA
'ASP通用防注入代码 3W0E6H"
'您可以把该代码COPY到头文件中.也可以单独作 _]~
ht H
'为一个文件存在,每次调用使用 "JUQ)> !?
''''''''''''''''''''''''''''''''''''''''''''''''
7^t(RNq
Dim GetFlag Rem(提交方式) f { 4G
Dim ErrorSql Rem(非法字符)
A @
Dim RequestKey Rem(提交数据) s*~jvL
Dim ForI Rem(循环标记) LG@c)H74
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) U0bE B
ErrorSql = split(ErrorSql,"~") lTO M/^L
If Request.ServerVariables("REQUEST_METHOD")="GET" Then f w>Gx9
GetFlag=True MCrO]N($b
Else #+ lq7HJ1
GetFlag=False g7}z
&S ;_
End If HfeflGme*
If GetFlag Then O]%m{afM
For Each RequestKey In Request.QueryString D@b<}J>0'
For ForI=0 To Ubound(ErrorSql) I }W-5%
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then feq6!k7
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" 6_ &6'Vq
Response.End @01D1A
End If I9G*iu=U
Next W.6 JnYLQ&
Next \|>` z,;
Else ) }it,<
For Each RequestKey In Request.Form =* >4 Gh
i
For ForI=0 To Ubound(ErrorSql) Sp$x%p 0
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then A*;^F ]~'
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" &_^*rD~
Response.End sr($Bw
End If \ F+o=
Next ^(m6g &$(
Next Y /ac}q
End If DEwtP
%> wyA(}iSq
------------------------------------------------------------------------------------------------------------------- Q}f}Jf3P
0*:hm%g
第二个： ://#
%SE
d_7Xlp@
<% $I6eHjYT
'防止注入 UE# Ni 5
dim qs,errc,iii zQj%ds:
qs=lcase(request.servervariables("query_string")) acju!,G
'response.write(qs) i6 y px
dim deStr(18) U!I_i*: U
deStr(0)="net user" .bBQhf.&"
deStr(1)="xp_cmdshell" AoOG[to7
deStr(2)="/add" W0T
i ^@
deStr(3)="exec%20master.dbo.xp_cmdshell" Rd1k u=
deStr(4)="net localgroup administrators" =& b$W/l)0
deStr(5)="select" 6 r-n 6#=
deStr(6)="count" s$\8)V52
deStr(7)="asc"
pA,EUh| H
deStr(8)="char" ${?ex nb$
deStr(9)="mid" |e[ 0Qo@
deStr(10)="'" c+i`Zd.m<
deStr(11)=":" 2=,Sz1`t
deStr(12)="""" QKaj4?p$|S
deStr(13)="insert" _} 9R}
deStr(14)="delete" ?kFCYZK|"
deStr(15)="drop" \^( vlcy
deStr(16)="truncate" Q]g 4gj
deStr(17)="from" ~md |k
deStr(18)="%" T[[
errc=false A%w]~ chC9
for iii= 0 to ubound(deStr) NU nc"@
if instr(qs,deStr(iii))<>0 then ]3y5b9DuW
errc=true a*8.^SdzR
end if 56
kgL;$h
next MJ/%$
if errc then &eS70hq
Response.Write("对不起，非法URL地址请求!")
UoS;!}l
response.end k42ur)pb
end if F#bo4'&>@
%> ?N?pe}
-r'seb5
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
