今天写一篇关于站点安全的文章。 uY3# ,
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ P4E_<v[
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ ' S=eW_ 0/
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： V*@&<x"E
<% 'I2[} >mj2
'''''''''''''''''''''''''''''''''''''''''''''''' <9;X1XtpI
'ASP通用防注入代码 W(.svJUgb.
'您可以把该代码COPY到头文件中.也可以单独作 7p{uRSE4._
'为一个文件存在,每次调用使用 '68#7Hs.
'''''''''''''''''''''''''''''''''''''''''''''''' n#
FkgXP$
Dim GetFlag Rem(提交方式) |H 5$VSw
Dim ErrorSql Rem(非法字符) .n?i' 8
Dim RequestKey Rem(提交数据) ;9Wimf]G,E
Dim ForI Rem(循环标记) swLNNA.
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) Pb59RE:7V
ErrorSql = split(ErrorSql,"~") iqsR]mab
If Request.ServerVariables("REQUEST_METHOD")="GET" Then byZj7q5&Q
GetFlag=True 0p\Kf(|E*6
Else GQE7P()
GetFlag=False dXU6TCjU7
End If %UV"@I+
If GetFlag Then *WWDwY@!u
For Each RequestKey In Request.QueryString p DU+(A4>
For ForI=0 To Ubound(ErrorSql) D< *) ^^
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then v
|3mbApv
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" =65XT ^
Response.End %GM CyT
End If -KqMSf&9
Next f67pvyy -
Next i+I 1h=
Else WO^]bR
For Each RequestKey In Request.Form (^<skx>
For ForI=0 To Ubound(ErrorSql) 4#ifm#
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then D8$4P T0u
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" A\.{(,;kp
Response.End T
@n};,SQ
End If d%p{
l)Hd
Next d zV2;
Next ZiaFByLy
End If /-=h|A#Kh
%> 1{qG?1<zZ6
------------------------------------------------------------------------------------------------------------------- 4:kDBV;v
aHNn!9#1
第二个： 91k-os(4]
B?
XK;*])
<% _+%p!!
'防止注入 o$ }$Z&LK
dim qs,errc,iii = >GGeEL
qs=lcase(request.servervariables("query_string")) K>-01AGHL
'response.write(qs) b.)jJLWv@
dim deStr(18) bGlr>@;-r
deStr(0)="net user" <D Eu]-'>
deStr(1)="xp_cmdshell" z07:E>D]
deStr(2)="/add" A[:(#iR5-E
deStr(3)="exec%20master.dbo.xp_cmdshell" Ve40H6 Ox
deStr(4)="net localgroup administrators" | "eC0u
deStr(5)="select" xi)M8\K
deStr(6)="count" W! * P
deStr(7)="asc" ;g<y{o"Q3p
deStr(8)="char" A3.pz6iT>
deStr(9)="mid" wV4M P1c$
deStr(10)="'" @CC
6 ` D
deStr(11)=":" '\"5qB
deStr(12)="""" (/i|3 P
deStr(13)="insert" }rWg ']
deStr(14)="delete"
CUaL
deStr(15)="drop" gaE8\JSr
deStr(16)="truncate" >;fn,9w
deStr(17)="from" +9# qNk P
deStr(18)="%" \+C0Rv^^
errc=false g}*p(Tp9:
for iii= 0 to ubound(deStr) |HwEwL+
if instr(qs,deStr(iii))<>0 then * C*aH6*
errc=true Z07n>|W F-
end if DJ!pZUO{
next w@a|
_
?
if errc then 71\GK
Response.Write("对不起，非法URL地址请求!") lKS 2OOYC`
response.end 6ywO L'OBM
end if VpED9l]y
%> f{{J_""?&
FbW$H ]C$
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
