站点安全简单防范 [复制链接]

今天写一篇关于站点安全的文章。 68fiG   
  很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ .wA+S8}S  
  所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ E>LkJ
Sy=  
  关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： jhgX{xc  
<% VSX@e|Nj  
'''''''''''''''''''''''''''''''''''''''''''''''' w'4AJ Q|;  
'ASP通用防注入代码 n{0Ld -zH  
'您可以把该代码COPY到头文件中.也可以单独作 u^Ku;RQo  
'为一个文件存在,每次调用使用 K kW;-{c  
'''''''''''''''''''''''''''''''''''''''''''''''' iRo.RU8>  
Dim GetFlag Rem(提交方式) G.VuKsP]  
Dim ErrorSql Rem(非法字符) E_z;s3AXQ  
Dim RequestKey Rem(提交数据) <yA}i"-1W  
Dim ForI Rem(循环标记) `>(W"^  
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开)
D1 Z{W  
ErrorSql = split(ErrorSql,"~") CbBSFKM  
If Request.ServerVariables("REQUEST_METHOD")="GET" Then 8LkP)]4^sO  
GetFlag=True Df=dt  
Else .R*!aK  
GetFlag=False uE/T2BX*  
End If NH<gU_s8{9  
If GetFlag Then :e1o<JgPt  
For Each RequestKey In Request.QueryString _9H*agRe  
For ForI=0 To Ubound(ErrorSql) xiF7}]d+  
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then ,QIF
&  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" O4 3YY2  
Response.End  +ECDD'^!  
End If lT&wOm3  
Next 0-Y:v(|.  
Next hY5WJ;  
Else P;[OWSR[d  
For Each RequestKey In Request.Form \`<cH#  
For ForI=0 To Ubound(ErrorSql) ^$>XW\yCs  
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then `^JJ&)4iv  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" b3-eR5U/  
Response.End bu7'oB~:V^  
End If }T^cEfX  
Next \`V$ 'B{.  
Next TcTM]ixr  
End If U6Z
R->:  
%> mbRqJT>@  
------------------------------------------------------------------------------------------------------------------- 8M
*PML4r  
d6{Gt"  
第二个： f*{ YFg?*&  
BcjP+$k4_  
<% v4 4}%$  
'防止注入 WW2 Ob*  
dim qs,errc,iii Jf)bHjC_V  
qs=lcase(request.servervariables("query_string")) Jb)#fH$L  
'response.write(qs) V3;.{0k  
dim deStr(18) 0 S_':r   
deStr(0)="net user" ,21 np  
deStr(1)="xp_cmdshell" .MW @;  
deStr(2)="/add" V-I(WzR9y  
deStr(3)="exec%20master.dbo.xp_cmdshell" kd:$oS_*s  
deStr(4)="net localgroup administrators" W%2 80\h  
deStr(5)="select" ,r^M?>  
deStr(6)="count" Yb i%od&  
deStr(7)="asc" AsS$C&^  
deStr(8)="char" -4w=s|#.\  
deStr(9)="mid" iI@jZVk  
deStr(10)="'" -!;l~#K=  
deStr(11)=":" /yz=Cjoz  
deStr(12)="""" 8[CB>-9  
deStr(13)="insert" n,HE0Zn]Y_  
deStr(14)="delete" OH^N" L  
deStr(15)="drop" t>GfM  
deStr(16)="truncate" q+KzIde|%  
deStr(17)="from" "LYh7:0s!k  
deStr(18)="%" :WI.LKlo~  
errc=false b*;"q9u5  
for iii= 0 to ubound(deStr) e~ aqaY~}  
if instr(qs,deStr(iii))<>0 then &Cim!I  
errc=true ?&LZB}1 R  
end if 6$a$K,dZ  
next g*)K/Z0pJ$  
if errc then 4nH*Ui!T  
Response.Write("对不起，非法URL地址请求!") - K%,^6  
response.end EV#MQM  
end if 9odJr]  
%> [%50/_h  
P1b'%  
  注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！

这里是讨论邮件防病毒与防垃圾邮件的版区。

v^ d]rSm