站点安全简单防范 [复制链接]

今天写一篇关于站点安全的文章。 3n(gfQo-o  
  很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！  x9"4 vp  
  所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ ;+34g6  
  关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： _/~ ,a  
<% u#WTh%/  
'''''''''''''''''''''''''''''''''''''''''''''''' /1~|jmi(  
'ASP通用防注入代码 7G(f1Y  
'您可以把该代码COPY到头文件中.也可以单独作 -MU.Hu  
'为一个文件存在,每次调用使用 Y{vwOs  
'''''''''''''''''''''''''''''''''''''''''''''''' =4<S8Cp  
Dim GetFlag Rem(提交方式) 6h6?BQSE  
Dim ErrorSql Rem(非法字符) A]Tcj^ #  
Dim RequestKey Rem(提交数据) "%''k~UD4  
Dim ForI Rem(循环标记) : dIQV(iW  
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) D%UZ'bHN*  
ErrorSql = split(ErrorSql,"~") s%[GQQ-N  
If Request.ServerVariables("REQUEST_METHOD")="GET" Then 4z%#ZIy3   
GetFlag=True =yX&p:-&  
Else !{tiTA  
GetFlag=False g T&'i(c  
End If ttFY _F~S  
If GetFlag Then 4UD=Y?zK  
For Each RequestKey In Request.QueryString rjHIQC C  
For ForI=0 To Ubound(ErrorSql) I9un  
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then RE $3| z  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" i4zV
(  
Response.End kgapTv>q  
End If bro  
Next uO@3vY',n  
Next <o!&Kk9  
Else "lz[zFnO  
For Each RequestKey In Request.Form Nv?-*&L
 
For ForI=0 To Ubound(ErrorSql) 7k=F6k0)  
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then RF~Ofi  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" {XD/8m(hN|  
Response.End 1Uemsx%'k  
End If 6w"( y~c1  
Next 15
KV}){  
Next  hMeqs+  
End If *UBP]w  
%> _gm?FxV:  
------------------------------------------------------------------------------------------------------------------- OssR[$69  
nt0\q'&  
第二个： (s$u_aq77  
fA_%8CjI  
<% 0w(T^GhZ  
'防止注入 r<X4ER  
dim qs,errc,iii W.`Xm(y  
qs=lcase(request.servervariables("query_string")) 0vuKGjK  
'response.write(qs) VkDS&g~Ws  
dim deStr(18) Kka8cG  
deStr(0)="net user" yvd `nV  
deStr(1)="xp_cmdshell" =v4r M0m,  
deStr(2)="/add" !3I(4?G,  
deStr(3)="exec%20master.dbo.xp_cmdshell" H8$<HhuZM  
deStr(4)="net localgroup administrators" /8>0;bX+  
deStr(5)="select" \}Ac q;  
deStr(6)="count" -*%!q$ :  
deStr(7)="asc" Bug}^t{M  
deStr(8)="char" + sywgb)  
deStr(9)="mid" 9#&W!f*qO|  
deStr(10)="'" uR:=V9O  
deStr(11)=":" {!}F :~*r  
deStr(12)="""" S6T!qH{6  
deStr(13)="insert" q)V1{B@  
deStr(14)="delete" ^{*f3m/
 
deStr(15)="drop" QGr\I/Y  
deStr(16)="truncate" hB7pR"P  
deStr(17)="from" %x}&=zx0*1  
deStr(18)="%" )nNCB=YF!  
errc=false )?B~64N,+  
for iii= 0 to ubound(deStr) g+}s:9  
if instr(qs,deStr(iii))<>0 then y=9Dxst"V  
errc=true /MKNv'5&!%  
end if w=D%D8 r2  
next 8pk#sJ51  
if errc then
(7;J
"2M  
Response.Write("对不起，非法URL地址请求!") nx-1*  
response.end z^rhgs?4  
end if Z.:<TrN  
%> @q+cmJKv  
Ni!;-,H+E  
  注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！

这里是讨论邮件防病毒与防垃圾邮件的版区。

4|6&59?pnc