今天写一篇关于站点安全的文章。 _fn1 )
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ r8[T&z@_
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ wfR&li{
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： <uci9- eC
<% zX Zir7NfM
'''''''''''''''''''''''''''''''''''''''''''''''' Q9c)k{QZ
'ASP通用防注入代码 8AL\ST51x"
'您可以把该代码COPY到头文件中.也可以单独作 FJ5 4S
'为一个文件存在,每次调用使用 xq[Yg15d%
'''''''''''''''''''''''''''''''''''''''''''''''' D."=k{r.
Dim GetFlag Rem(提交方式) /[=E0_t+
Dim ErrorSql Rem(非法字符) z)-c#F@%
Dim RequestKey Rem(提交数据) T2=HG Z
Dim ForI Rem(循环标记) Xj@+{uvQB
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) lr~0pL
ErrorSql = split(ErrorSql,"~") $ 4m*kQ
If Request.ServerVariables("REQUEST_METHOD")="GET" Then =:=/Gz1
GetFlag=True
%w
) +V
Else O=}g 4c
GetFlag=False XRtD< jlA"
End If -Q"hZ 9
If GetFlag Then eGL<vX
For Each RequestKey In Request.QueryString t g\|?
For ForI=0 To Ubound(ErrorSql) 94/BG0
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then )8,|- o=
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" .c+9P<VmC}
Response.End +v7) 1y
End If 86
.`T l;
Next r. yK,
Next V
'.a)6
Else *if`/N-q(m
For Each RequestKey In Request.Form n V&cC
For ForI=0 To Ubound(ErrorSql) UvJ; A
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then j:,9%tg
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" !*{q^IO9v&
Response.End =(o']Zaa A
End If d`y!cu2}
Next n3KI+I%nQ
Next (x pn`NA
End If ;9a 6pz<
%> k N7 B
d}
------------------------------------------------------------------------------------------------------------------- G~,:2
o3
z jl!9M!
第二个： "ju'UOcS /
& ,: h)
<% KP]"P*?
?
'防止注入 b:W-l?
dim qs,errc,iii BuOgOYh9
qs=lcase(request.servervariables("query_string")) 5's~>up&
'response.write(qs) Fc 6iQ
dim deStr(18) >''U
deStr(0)="net user" mtA E
deStr(1)="xp_cmdshell" Cu;5RSr2Z
deStr(2)="/add"
8LzB h_J?
deStr(3)="exec%20master.dbo.xp_cmdshell" K > g[ k _
deStr(4)="net localgroup administrators" q v*7K@
deStr(5)="select" ]?+{aS-]?k
deStr(6)="count" I/6)3 su%
deStr(7)="asc" neZ.`"LV
deStr(8)="char" u=x+ J=AH
deStr(9)="mid" oUZoj2G1
deStr(10)="'" O`[aU%4b
deStr(11)=":" 6gL-OJNo
deStr(12)="""" tc+WWDP#"
deStr(13)="insert" ~f\G68c
deStr(14)="delete" soRv1) el
deStr(15)="drop" &@FhR#pUQ
deStr(16)="truncate" k[j90C5
deStr(17)="from"
8'
DW #%
deStr(18)="%" >l']H*&B<
errc=false h^UKT`9vt
for iii= 0 to ubound(deStr)
p>w]rE:}
if instr(qs,deStr(iii))<>0 then ^h' Sla
errc=true 64>krmVIe
end if 8^/I>0EZ
next AIYmS#V1W2
if errc then u\yVR$pQ
Response.Write("对不起，非法URL地址请求!") W/$ Zvl
response.end W~1~k{A
end if c2nKPEX&5
%> M5357Q
=FP0\cQ.
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
