今天写一篇关于站点安全的文章。 Qm=iCZ|E^!
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ 4*D"*kR;
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ 'F#dv[N
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： #G_'5{V
<% d"n"A?nXh
'''''''''''''''''''''''''''''''''''''''''''''''' nW}
s
'ASP通用防注入代码 ~iv OSr7s}
'您可以把该代码COPY到头文件中.也可以单独作
]G
D `
f
'为一个文件存在,每次调用使用 pTB 7k3g
'''''''''''''''''''''''''''''''''''''''''''''''' )\j
dF-s
Dim GetFlag Rem(提交方式) C#4_`4{
Dim ErrorSql Rem(非法字符) [ [pt~=0
Dim RequestKey Rem(提交数据) ~L>86/hP,N
Dim ForI Rem(循环标记) 0OQ*V~>f
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) !{ {gL=_@
ErrorSql = split(ErrorSql,"~") 'kco.
1{
If Request.ServerVariables("REQUEST_METHOD")="GET" Then C,A/29R,s
GetFlag=True +xgP&nw[-
Else m@u% 3*:
GetFlag=False rLE+t(x(0
End If B=$O4nW_b
If GetFlag Then T--%UZD]W
For Each RequestKey In Request.QueryString ksCF"o /@V
For ForI=0 To Ubound(ErrorSql) G')zDx
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then lD, ~%
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" " Zx<hL*
Response.End ktS^^!,l %
End If c&x1aF "B
Next i(OeE"YA
Next aj,o<J
Else l^$'6q"
For Each RequestKey In Request.Form ky-nP8 L}
For ForI=0 To Ubound(ErrorSql) z [ 'G"yCi
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then B^]PKjLNZ
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" )0]U"Nf ho
Response.End 4 R(m$!E!
End If + ~5P7dh6
Next [q C0YM
Next 0AdxV?6z
End If qE|syA9
%> s2GF*{
------------------------------------------------------------------------------------------------------------------- u>G9r#~`k
RKE"}|i +S
第二个： 2P)O
0j\/
"<{|ni}
<% 8 ]exsn Z
'防止注入 d =n{ Wn{C
dim qs,errc,iii Yb4ku7}
qs=lcase(request.servervariables("query_string")) Lr 5{c5M
'response.write(qs) G ~ v:@
dim deStr(18) qv}ECQ
deStr(0)="net user" cs ?WE9N
deStr(1)="xp_cmdshell" ggiy{CdR
deStr(2)="/add" #r]Z 2Y]
deStr(3)="exec%20master.dbo.xp_cmdshell" RGs7Hc
deStr(4)="net localgroup administrators" T1*.3_wtP
deStr(5)="select" IVkB)9IW
deStr(6)="count" 7Xu# |k
deStr(7)="asc" aidQ,(PDj
deStr(8)="char" E>f{j :M
deStr(9)="mid" ,[t? $Cy ;
deStr(10)="'" "M!m-]
deStr(11)=":" G}^= (,jl
deStr(12)="""" (ie%zrh S
deStr(13)="insert" 5OtdB'UITd
deStr(14)="delete" =4co$oD}
deStr(15)="drop" V=dOeuYd
deStr(16)="truncate" g2m* Q%
deStr(17)="from" eBs.RR
]O
deStr(18)="%" fK +
5
errc=false E5@ =LS
for iii= 0 to ubound(deStr) N%xCyZ
if instr(qs,deStr(iii))<>0 then xVbRC u#Z
errc=true -4s KB>b
end if *i^ $xjOa
next DyCzRkH
if errc then 16Jq*hKU
Response.Write("对不起，非法URL地址请求!") 6% ofS8 [
response.end jx}'M$TA
end if 86N,04
%> Btm _S\1
Um 6}h@>
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
