今天写一篇关于站点安全的文章。 8
E\zjT!#\
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ T2S_>
#."l
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ I2WP/
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： XDJE]2^52?
<% / Qd` ?
'''''''''''''''''''''''''''''''''''''''''''''''' e|!'
'ASP通用防注入代码 $
mE* =
'您可以把该代码COPY到头文件中.也可以单独作 'k[qx}
'为一个文件存在,每次调用使用 '0+~]4&}q
'''''''''''''''''''''''''''''''''''''''''''''''' dh7`eAMY
Dim GetFlag Rem(提交方式) Hz GwO^tbK
Dim ErrorSql Rem(非法字符) Z! O4hA4
Dim RequestKey Rem(提交数据) n}.e(z_"
Dim ForI Rem(循环标记)
\ /YRhQ
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) j=irx5:
ErrorSql = split(ErrorSql,"~") !i~(h&z
If Request.ServerVariables("REQUEST_METHOD")="GET" Then \hgd&H0UU
GetFlag=True e' o2PW
Else JkWhYP }
GetFlag=False BYX c
'K
End If dhob]8b
If GetFlag Then F- w AQ:
For Each RequestKey In Request.QueryString 88v8lt ;R
For ForI=0 To Ubound(ErrorSql) ; & O?4?@4
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then
k3q
QU)
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" ah:["< z<
Response.End (cOe*>L;
End If '~&W'='b;
Next d-B+s%>D
Next 1#6emMV.`
Else 2$5">%?
For Each RequestKey In Request.Form }6%XiP|
For ForI=0 To Ubound(ErrorSql) ' w
k,t^)
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then K<
*6E@+i
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" AJ7^'p9Y
Response.End @@H_3!B%4v
End If bpwA|H%{M
Next m G\QF0h
Next i`2SebDj'w
End If o13jd NQ-
%> H %@f ^
------------------------------------------------------------------------------------------------------------------- AE}cHBwZE
|qn 2b=
第二个： 'JMW.;Lh?X
/S"jO [n9b
<% HK/WO jr
'防止注入 dgpE3
37Lt
dim qs,errc,iii YUEyGhkMV{
qs=lcase(request.servervariables("query_string")) ;yomaAr
'response.write(qs) H_ $?b
dim deStr(18) o@zxzZWg
deStr(0)="net user" #j~FlY5
deStr(1)="xp_cmdshell" [[IMf-]
deStr(2)="/add" XeI2 <=@%
deStr(3)="exec%20master.dbo.xp_cmdshell" z qq
deStr(4)="net localgroup administrators" " _2 k 3
deStr(5)="select"
Gn8 sB
deStr(6)="count" C*b[J
deStr(7)="asc" Sc[# ]2 }
deStr(8)="char" ce\d35x!
deStr(9)="mid" V'j+)!w5
deStr(10)="'" ^qR|lA@=\
deStr(11)=":" S{;Pga*Px
deStr(12)="""" -p_5T*R
deStr(13)="insert" ZX:rqc
deStr(14)="delete" "iK=
8
deStr(15)="drop" 1z8 "Gk6
deStr(16)="truncate" h5'hP>b#
deStr(17)="from" .g*N +T6O
deStr(18)="%" ?Tc# [B
errc=false 6i[Ts0H%<!
for iii= 0 to ubound(deStr) TM(y%!\
if instr(qs,deStr(iii))<>0 then gUru=p
errc=true Mqd'XU0L
end if [
@eA o>
next C12UZE;
if errc then jG[Vp b
Response.Write("对不起，非法URL地址请求!") H JAiQ[m5s
response.end ":udo VS!
end if .U0Gm _c0
%> v;<gCzqQh
=:s`C,l.4
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
