今天写一篇关于站点安全的文章。 I0O)MR<
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ ! &C8 y
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ `X]-blHo
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码：
^Y x qJy
<% ?T5^hQT
'''''''''''''''''''''''''''''''''''''''''''''''' p]: ~z|.Ba
'ASP通用防注入代码 fPHv|_XM>
'您可以把该代码COPY到头文件中.也可以单独作 _ c%]RE
'为一个文件存在,每次调用使用 ..7"&-?g{4
'''''''''''''''''''''''''''''''''''''''''''''''' M~7?m/Wj
Dim GetFlag Rem(提交方式) CS cM;U=
Dim ErrorSql Rem(非法字符) 3vOI=ar=L~
Dim RequestKey Rem(提交数据) dH!k {3bL
Dim ForI Rem(循环标记) 1uv"5
`%s
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) 4(&00#Yxg2
ErrorSql = split(ErrorSql,"~") DB_
x
If Request.ServerVariables("REQUEST_METHOD")="GET" Then C9Fc (Y?_
GetFlag=True SV]M]CAe
Else (@M=W.M#
GetFlag=False /U)w:B+p/g
End If Xt'R@"H<V9
If GetFlag Then G`w,$:,
For Each RequestKey In Request.QueryString ']f]:X;6 w
For ForI=0 To Ubound(ErrorSql) g 4d 5G=y
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then \ +v_ 6F
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" [kFX>G4
Response.End ]k{cPK
End If V/|Ln*rm
Next f+s'.z
%
Next ]xf {.z
Else sEdWBT
8
For Each RequestKey In Request.Form P-No;/!B#
For ForI=0 To Ubound(ErrorSql) Y_%\kM?7
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then *E .{i
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" < V"' j
Response.End ~SZ0Yu:X
End If s. KJ YP
Next YFLWkdqAY
Next V:!fe+ Er
End If 8ne'x!1 D
%> Z| d_G}
------------------------------------------------------------------------------------------------------------------- Np|i Xwl1
6%ID*
第二个： QE!cf@~n"
. xX xjl
<% i(,R$AU
'防止注入 Q-}oe Q
dim qs,errc,iii .Rc&E O
qs=lcase(request.servervariables("query_string")) I]Wb\&$
'response.write(qs) X!,Ngmw.
dim deStr(18) I_#)>%H
deStr(0)="net user" %dL|i2+*8
deStr(1)="xp_cmdshell"
guSgTUJ}
deStr(2)="/add" Ft`#]=IS
deStr(3)="exec%20master.dbo.xp_cmdshell" WLNkO^zb
deStr(4)="net localgroup administrators" e7/J:n$
deStr(5)="select" ;pb~Zk/[,w
deStr(6)="count" Qkqn~>
deStr(7)="asc" ~AK!_EOs`
deStr(8)="char" ET _}x7
deStr(9)="mid" I|9e4EX{ y
deStr(10)="'" BD=;4SLT
deStr(11)=":" Li Qs;$V
deStr(12)="""" pq-zy6^
deStr(13)="insert" Z#>k:v
deStr(14)="delete" z]P |%
deStr(15)="drop" HK&F'\'}
deStr(16)="truncate" MkJL9eG
deStr(17)="from" |=38t8Ge&
deStr(18)="%" :n'QN
Gj
errc=false &.7\{q\(
for iii= 0 to ubound(deStr) %
C 6 H(
if instr(qs,deStr(iii))<>0 then jK I+-s
errc=true X^9_'T9
end if =
q5A@!D
next .,m$Cm
if errc then LAf!y"A#
Response.Write("对不起，非法URL地址请求!") &r DOqj
response.end |}q0 G~l
end if kf-ZE$S4
%> o,Ha-z]f
,[Cl
'B
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
