今天写一篇关于站点安全的文章。 RIR\']WN
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ ME$[=?7XX
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ Xc ++b|k
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： 7jrt7[{
<% t
mn tp
'''''''''''''''''''''''''''''''''''''''''''''''' P.se'z)E
'ASP通用防注入代码 85= )lu
'您可以把该代码COPY到头文件中.也可以单独作 E#RDqL*J
'为一个文件存在,每次调用使用 ]Ee?6]b
N
'''''''''''''''''''''''''''''''''''''''''''''''' 2F;y;l%
Dim GetFlag Rem(提交方式) QP==?g
3
Dim ErrorSql Rem(非法字符) $V;i
'(&7
Dim RequestKey Rem(提交数据) Xxj-
6i
Dim ForI Rem(循环标记) _{ue8kGt
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) [> 3./YH`
ErrorSql = split(ErrorSql,"~") 1}+3dB_s
If Request.ServerVariables("REQUEST_METHOD")="GET" Then ]2A^1Del
GetFlag=True R>|{N9
Else B
kAm/R
GetFlag=False t3 WiomNCc
End If AD> e?u
If GetFlag Then 2YL? ,uLS
For Each RequestKey In Request.QueryString @ )F )S 7
For ForI=0 To Ubound(ErrorSql) Vsr.=N d=
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then 5PCqYN(:B
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" D_ 2:k'4
Response.End e)IzQ7Zex
End If -]Bq|qTH[(
Next t|?ez4/{z
Next umBICC]CU
Else AF{ \6<m
For Each RequestKey In Request.Form E)&I@m
For ForI=0 To Ubound(ErrorSql) [&[k^C5
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then iO$8:mxm0?
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" zC:AS t
Response.End 9yu\ Ot
End If ^S<Y>Nm]
Next sfH_5
#w
Next n)/z0n!\
End If W.jGGt\<\
%> n6=By|jRh
------------------------------------------------------------------------------------------------------------------- wVXS%4|v
-/B+T>[nTb
第二个： ";lVa'HMZ
.Z`R^2MU
<% &;6`)M{*}
'防止注入 yqs 4[C
dim qs,errc,iii nbp
=PzZy
qs=lcase(request.servervariables("query_string")) ?5__oT
'response.write(qs) a~`eQ_N D
dim deStr(18) T wB}l
deStr(0)="net user" eu|YCYj)g
deStr(1)="xp_cmdshell" OF>mF ~
deStr(2)="/add" Ufj `euY
deStr(3)="exec%20master.dbo.xp_cmdshell" CZe ]kXNv
deStr(4)="net localgroup administrators" hF?1y `20
deStr(5)="select" .#!lP/.eQP
deStr(6)="count" o#)C^xlQ
deStr(7)="asc" <V'@ks%
deStr(8)="char" *-WpZGh
deStr(9)="mid" %Qgw7p4
deStr(10)="'" *U- 4Sy
deStr(11)=":" '6`3(TK.a
deStr(12)="""" h
f)?1z4
deStr(13)="insert"
RU{twL.B
deStr(14)="delete" CT@ jZtg0
deStr(15)="drop" *"2+B&Y
deStr(16)="truncate" T~?Ff|qFC
deStr(17)="from" t,Lrfv])
deStr(18)="%" Rh2 +=N<X
errc=false ph kwN}6
for iii= 0 to ubound(deStr) G5_=H,Vmd
if instr(qs,deStr(iii))<>0 then 2 34p9A@
errc=true A|[?#S((]
end if D8Ic?:iX[
next 1nM
#kJ"
if errc then `RT>}_j
Response.Write("对不起，非法URL地址请求!") r r %V.r;2
response.end pQ" >UL*
end if ;}WeTA_ -[
%> ^6x
%*/l|
M t|zyXyzX
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
