今天写一篇关于站点安全的文章。 zQ u9LN
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ 2Ib
1D
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ Z \n^m^Z
=
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： EW `WFBjj
<% i`iR7UmHeR
'''''''''''''''''''''''''''''''''''''''''''''''' H_1&>@ 3
'ASP通用防注入代码 4gmlK,a
'您可以把该代码COPY到头文件中.也可以单独作 >d
wWqcP
'为一个文件存在,每次调用使用 ;.R)
uCd{=
'''''''''''''''''''''''''''''''''''''''''''''''' @ @(O##(7
Dim GetFlag Rem(提交方式) Nm%#rZrN~Q
Dim ErrorSql Rem(非法字符) OekE]`~w
Dim RequestKey Rem(提交数据) jj ' epbA
Dim ForI Rem(循环标记) z 61F q
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) 6J$I8b#/
ErrorSql = split(ErrorSql,"~") Wu8zK= Ve(
If Request.ServerVariables("REQUEST_METHOD")="GET" Then g$/7km{TP
GetFlag=True aQ &K a
Else #60gjHYaV
GetFlag=False XCXX(8To0=
End If 2l:cP2 fa
If GetFlag Then @s,
kx.S
For Each RequestKey In Request.QueryString
For ForI=0 To Ubound(ErrorSql) A.$P1zwC
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then *Aug7
HlS
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" Q0ba;KPm
Response.End D& &71X '
End If )%8s t'
Next Ah r
Next Qz$nWsD
Else 'coY`B; 8
For Each RequestKey In Request.Form #hXvGon$?
For ForI=0 To Ubound(ErrorSql) iYlkc
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then p&HO~J <w
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" Wdj|
RKw
Response.End $}us+hGZ
End If "t-9q
Next jL'R4z
Next OcC|7s" ,
End If #|=lU4Bf
%> Z:2%gU&W
------------------------------------------------------------------------------------------------------------------- FNo.# Z5+b
>m%7dU
第二个： ~Ra8(Koc
D
z;N`jqo
<% zzd PR}VG
'防止注入 d%E *
P4Ua
dim qs,errc,iii 2{oQ
qs=lcase(request.servervariables("query_string")) q; C6ID`
'response.write(qs) <;
1M!. )5
dim deStr(18) :C={Z}t/F
deStr(0)="net user" it-2]Nw
deStr(1)="xp_cmdshell" \
*g3j
deStr(2)="/add" .>1Y-NM
deStr(3)="exec%20master.dbo.xp_cmdshell" qc' ; <
deStr(4)="net localgroup administrators" ]4K4Nh~
deStr(5)="select" H"?Ndl:
deStr(6)="count" 8-@H zS%
deStr(7)="asc" G %K&f1q%
deStr(8)="char" @V^5_K
deStr(9)="mid" e : T9f('
deStr(10)="'" wk1/&
deStr(11)=":" f*p=j(sF
deStr(12)="""" eIhfhz?Q;#
deStr(13)="insert" T?tZ?!6
deStr(14)="delete" M<Dvh y[
deStr(15)="drop" $gL ^\(_3H
deStr(16)="truncate" qT#NS&T!-
deStr(17)="from" # 00?]6`z
deStr(18)="%" 6k {gI.SG
errc=false
<$K7f
for iii= 0 to ubound(deStr) ]x bMMax
if instr(qs,deStr(iii))<>0 then 7[0CV Ws,
errc=true >
-(Zx
end if i4M%{]G3Y
next kD)
]\
if errc then BhiOV_}Hn
Response.Write("对不起，非法URL地址请求!") l?L s=J*
response.end 5%@~"YCo
end if %D%
Ok7s})
%> QpS7 nGev
Zv8_<>e
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
