今天写一篇关于站点安全的文章。 ;lYHQQd!,
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ L(GjZAP
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ `3p~m,
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： O25lLNmO
<% Ym;*Y !~[
'''''''''''''''''''''''''''''''''''''''''''''''' Uye|9/w8 !
'ASP通用防注入代码 E2)h ?cs
'您可以把该代码COPY到头文件中.也可以单独作 S/;bU :
'为一个文件存在,每次调用使用 Z{?G.L*/
'''''''''''''''''''''''''''''''''''''''''''''''' o yo(1 >
Dim GetFlag Rem(提交方式) fdONP>K[E
Dim ErrorSql Rem(非法字符) );-~j
Dim RequestKey Rem(提交数据) (
8_\^jJ
Dim ForI Rem(循环标记) V I%
6.6D
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) tT d\|
ErrorSql = split(ErrorSql,"~") 0!v ->Dk
If Request.ServerVariables("REQUEST_METHOD")="GET" Then +{sqcr1G
GetFlag=True H@]MXP[_
Else fM^[7;]7 e
GetFlag=False {Ay"bjZh
End If NnVnUgx
If GetFlag Then [w ;kkMJAy
For Each RequestKey In Request.QueryString 6q
2_W X
For ForI=0 To Ubound(ErrorSql) 0'nikLaKy
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then E*i#?u
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" Z"unF9`"1
Response.End .s$z/Jv
End If OR[
{PU=X
Next e<r,&U$
Next {v3P9s(
Else CdL< *AH
For Each RequestKey In Request.Form `~eUee3b.~
For ForI=0 To Ubound(ErrorSql) yCCrK@{oo
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then A 7[:5$
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" K98i[,rP
Response.End 4& l10fR5
End If U*.0XNKp{
Next !ct4;.2
D
Next J90v!p-
End If Haqm^Ky$
%> jt+iv*2N>
------------------------------------------------------------------------------------------------------------------- 1;VHM'
LdJYE;k Ju
第二个： ^pHq66d%Z
XrZ
*1V
<% W`^@)|9^)
'防止注入 BT} &Y6
dim qs,errc,iii #m={yck *
qs=lcase(request.servervariables("query_string")) -W>'^1cR
'response.write(qs) |JCU<_<
dim deStr(18) EqI(|bFwy
deStr(0)="net user" +{/
deStr(1)="xp_cmdshell" Uix6 GT;
deStr(2)="/add" RejQ5 'Neh
deStr(3)="exec%20master.dbo.xp_cmdshell" P;4w*((} ~
deStr(4)="net localgroup administrators" ID/ F
deStr(5)="select" Mw9 \EhA
deStr(6)="count" ?7{
H|sI
deStr(7)="asc" b+Br=Fv"T
deStr(8)="char" nT2)E&U6%
deStr(9)="mid" 4`,j = 3
deStr(10)="'" o.I6ulY8
deStr(11)=":" ^j7 azn
deStr(12)="""" (Cq n6 dWK
deStr(13)="insert" :6%Z]t t
deStr(14)="delete" y(
y8+ZT
deStr(15)="drop" mc4i@<_ ?
deStr(16)="truncate" s JNFFOz
deStr(17)="from" j&k6O1_
deStr(18)="%" U(x]O/m
errc=false JchSMc.9
for iii= 0 to ubound(deStr) )p*}e8L
if instr(qs,deStr(iii))<>0 then G8Du~ h!!U
errc=true F :a ILx
end if i~r l o ^
next r7qh >JrO
if errc then 3do)Vg4
Response.Write("对不起，非法URL地址请求!") Is R!'%Pu
response.end +@r*}
end if <F04GO\
%> _o8 ?E&d
p) +k=b
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
