站点安全简单防范 [复制链接]

今天写一篇关于站点安全的文章。 A"z9t#dv@  
  很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ wr5v-_7r,  
  所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ jweX"G54R  
  关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： LmytO$?2(  
<% TbaZFLr  
'''''''''''''''''''''''''''''''''''''''''''''''' wh)F&@6 R!  
'ASP通用防注入代码 Gt+rVJ=v  
'您可以把该代码COPY到头文件中.也可以单独作 6bPl(.(3  
'为一个文件存在,每次调用使用 je5[.VTM  
'''''''''''''''''''''''''''''''''''''''''''''''' {A'
*3(8  
Dim GetFlag Rem(提交方式) +I?k8',pi  
Dim ErrorSql Rem(非法字符) qtmKX  
Dim RequestKey Rem(提交数据) f>bL }L  
Dim ForI Rem(循环标记) Au6Y]  
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) SgYMPBh  
ErrorSql = split(ErrorSql,"~") z
ez|l  
If Request.ServerVariables("REQUEST_METHOD")="GET" Then '/)qI.  
GetFlag=True =t`cHs29  
Else 0HUylnXf0  
GetFlag=False ~oJ"si  
End If Ch\__t*v!  
If GetFlag Then [2Zl '+  
For Each RequestKey In Request.QueryString p{}4#+-<#H  
For ForI=0 To Ubound(ErrorSql) S@ g(
kIo]  
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then fY6~Z BvK  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" ~GcWG4  
Response.End -QwH|  
End If +H28F_#  
Next >ZW|wpO  
Next }=}wLm#&1  
Else 3)OQgeKU  
For Each RequestKey In Request.Form 6']Hm M  
For ForI=0 To Ubound(ErrorSql) uuxVVgWp{  
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then yRI XUCy  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" LM+d3|gSV  
Response.End @mmnr?_ w  
End If ~>HzAo9e  
Next a9UXg<4  
Next >lfuo  
End If TkJ[N4'0  
%> tJ 2GSZ`  
------------------------------------------------------------------------------------------------------------------- Le:(;:eL>t  
NSBcYObX  
第二个：
:.r_4$F:  
wJNm}Wf  
<% *\(z "B  
'防止注入 PfZS"yk  
dim qs,errc,iii EY:IwDA.}  
qs=lcase(request.servervariables("query_string")) =~k c7f{  
'response.write(qs) AL.psw-Il  
dim deStr(18) G[`1Yw$  
deStr(0)="net user" V$sY3,J7A%  
deStr(1)="xp_cmdshell" :PtZKt;~X  
deStr(2)="/add" bK.*v4RG  
deStr(3)="exec%20master.dbo.xp_cmdshell" 6i2%EC9  
deStr(4)="net localgroup administrators" mBE&>}G<  
deStr(5)="select" .r2*tB).  
deStr(6)="count" wYg!H>5  
deStr(7)="asc" |Fi5/$S.  
deStr(8)="char" 0y6M;"&~E  
deStr(9)="mid" zh| 9\lf  
deStr(10)="'" Z %Ozzp/  
deStr(11)=":" g`%in  
deStr(12)="""" yIrJaS-  
deStr(13)="insert" DY 9]$h*y  
deStr(14)="delete" xDGS`o_w_  
deStr(15)="drop" c!_c, vwrn  
deStr(16)="truncate" yu)^s!UY;  
deStr(17)="from" vbVOWX6  
deStr(18)="%" 0ZM(heQ  
errc=false #c
5jCy}n  
for iii= 0 to ubound(deStr) DU0/if9.  
if instr(qs,deStr(iii))<>0 then R(`:~@3\6  
errc=true l?=\9y  
end if wapSpSt  
next TS#[[^!S  
if errc then #{PwEX !Ct  
Response.Write("对不起，非法URL地址请求!") _'LZf =V0  
response.end jn:_2g[  
end if ! 5NuFLOf  
%> -^5467  
;8eKAh  
  注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！

这里是讨论邮件防病毒与防垃圾邮件的版区。

3iIy_nWC