站点安全简单防范 [复制链接]

今天写一篇关于站点安全的文章。 )0d".Q|v4  
  很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ E/P53CD  
  所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ {!Z_&i5  
  关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： ?F!J@Xn5  
<% UMW^0>Z!v  
'''''''''''''''''''''''''''''''''''''''''''''''' J*&=J6  
'ASP通用防注入代码 xWb?i6)z&  
'您可以把该代码COPY到头文件中.也可以单独作 s^R2jueR  
'为一个文件存在,每次调用使用 ]%8;c  
'''''''''''''''''''''''''''''''''''''''''''''''' QR$sIu@%  
Dim GetFlag Rem(提交方式) '<D}5u72  
Dim ErrorSql Rem(非法字符) x2c*k$<p  
Dim RequestKey Rem(提交数据) ,
vw`YKg  
Dim ForI Rem(循环标记) }e=GvWGa  
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) ;p!hd}C  
ErrorSql = split(ErrorSql,"~") +9rbQ?'  
If Request.ServerVariables("REQUEST_METHOD")="GET" Then "(&`muIc  
GetFlag=True Y'*h_K  
Else ^K8a#-  
GetFlag=False -vfu0XI~  
End If  /r@  
If GetFlag Then 7{
F9b0zwk  
For Each RequestKey In Request.QueryString ~EkGG .  
For ForI=0 To Ubound(ErrorSql) 9}$dwl(  
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then QGG(I7{-  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>"  !Ocg  
Response.End kR?n%`&k  
End If 3 Il/3\  
Next S,v>*AF  
Next <G?85*Nv_  
Else aMg f6veM  
For Each RequestKey In Request.Form IMrOPwjc  
For ForI=0 To Ubound(ErrorSql) 'wV26Dm  
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then >,vW  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" PH!B /D5G  
Response.End }(}vlL  
End If QO1Gq9  
Next ^l9 *h  
Next /M `y LI  
End If WREGRy  
%> '^3pF2lIw  
------------------------------------------------------------------------------------------------------------------- -"9)c^KVx  
ibUPd."W  
第二个： c;}n=7,>:L  
;OqLNfU3y  
<% :?6$}GcW  
'防止注入 Pm;*Jv%  
dim qs,errc,iii !-nm7Q  
qs=lcase(request.servervariables("query_string")) n7.lF  
'response.write(qs) grAL4  
dim deStr(18) b+apNph  
deStr(0)="net user" @$}\S  
deStr(1)="xp_cmdshell" rWKLxK4oU  
deStr(2)="/add" >M85xj
XP  
deStr(3)="exec%20master.dbo.xp_cmdshell" L>GYj6D9  
deStr(4)="net localgroup administrators" `z`;eR2oX  
deStr(5)="select" sc>)X{eb  
deStr(6)="count" eG>Fn6G<g  
deStr(7)="asc" %-po6Vf  
deStr(8)="char" 1U9N8{xg9  
deStr(9)="mid" abP?D
j&  
deStr(10)="'" zb,`K*Z{  
deStr(11)=":" Dq4
}VkY  
deStr(12)="""" >.~k?_Of  
deStr(13)="insert" ]=<@G.[=  
deStr(14)="delete" 8>;o MM  
deStr(15)="drop" 2]f.mq_PD  
deStr(16)="truncate" c}s3c >`d  
deStr(17)="from" pR>QIZq<gT  
deStr(18)="%" ui0(#2'h%  
errc=false m?G+#k;K  
for iii= 0 to ubound(deStr) :S6 <v0`Z  
if instr(qs,deStr(iii))<>0 then , )3+hnFY  
errc=true 4tNgK[6M  
end if {j*+:Gj0V  
next Cms"OkN  
if errc then jF85bb$  
Response.Write("对不起，非法URL地址请求!") 4<Y[L'UaA@  
response.end <{Wa[ 1D  
end if 5j5t?G;d,  
%> oD1 =}  
g~u!,Zc  
  注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！

这里是讨论邮件防病毒与防垃圾邮件的版区。

vB4qJ{f