今天写一篇关于站点安全的文章。 G.e\#_RR?
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ "a{f?
.X.
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ $ *- L8An?
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码：
"<h#Z(
<% ve^MqW &S
'''''''''''''''''''''''''''''''''''''''''''''''' ppP?1Il`kb
'ASP通用防注入代码 S$On$]~\"
'您可以把该代码COPY到头文件中.也可以单独作 FRk_x xe"K
'为一个文件存在,每次调用使用 tp2 _OQAQ
'''''''''''''''''''''''''''''''''''''''''''''''' o:\a
Dim GetFlag Rem(提交方式) CW YJ<27v{
Dim ErrorSql Rem(非法字符) i~L7h=__
Dim RequestKey Rem(提交数据) <F
& hfy
Dim ForI Rem(循环标记) %~2m$#)
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) 94 @!.11
ErrorSql = split(ErrorSql,"~") ,!4_Uc
If Request.ServerVariables("REQUEST_METHOD")="GET" Then hzo,.hS's
GetFlag=True x,_Ucc.
Else {~h\;>
GetFlag=False #[yl;1)
End If p' } %pAY
If GetFlag Then +0 |0X {v
For Each RequestKey In Request.QueryString #7ZB bq3 =
For ForI=0 To Ubound(ErrorSql) C8q-gP[
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then bM3e7olWS
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" hI{Yg$H 1
Response.End ra2q. H
End If L-$g & -
Next e,UgTxZ
Next v72 dE
Else 7~f6j :{|z
For Each RequestKey In Request.Form *
60)Vo.=
For ForI=0 To Ubound(ErrorSql) k8V0-.UL}
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then c?",k zo
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" W^Y(FUy~
Response.End I
GtH<0Du
End If 1dsxqN(:
Next >GUTno$J
Next !:{_< C"D
End If j=S"KVp9NF
%>
K_ 3ZJ
------------------------------------------------------------------------------------------------------------------- K$]B"
s
TaT&x_v^~a
第二个： )^sfEYoA
>E=a~ O
<% )~( _[='
'防止注入 HI 61rXN F
dim qs,errc,iii ~A4WuA
qs=lcase(request.servervariables("query_string")) eqCB2u"Jq
'response.write(qs) T9?_ `h
dim deStr(18) >WX'oP(<
deStr(0)="net user" +JG"eh&J"H
deStr(1)="xp_cmdshell" xII!2.
deStr(2)="/add" M6!brj\[|
deStr(3)="exec%20master.dbo.xp_cmdshell" _Y {g5t
deStr(4)="net localgroup administrators" q% 9oGYjvQ
deStr(5)="select" {rLOAewr
deStr(6)="count" @7'gr>_E
deStr(7)="asc" 1Tr=* b %f
deStr(8)="char" rzLl M
deStr(9)="mid" Cz)D3Df^
deStr(10)="'"
GXVGU-br
deStr(11)=":" Njje g 9 f
deStr(12)="""" ?,C,q5
T\
deStr(13)="insert" jqedHn x
deStr(14)="delete" Z4 ' v
deStr(15)="drop" 4*X$Jle|
deStr(16)="truncate" xRN$cZC
deStr(17)="from" 0
fU>L^P_?
deStr(18)="%" 7R JW
errc=false PX)qA =4q
for iii= 0 to ubound(deStr) -',Y; 0b%
if instr(qs,deStr(iii))<>0 then e?WR={
errc=true D I[Ee?
end if Cx~z^YP'
next 6suc:rp";
if errc then -<=< T@,
Response.Write("对不起，非法URL地址请求!") q'tT)IgD
response.end Rby7X*.-v
end if iwJgU
b
%> ^XVa!s,d
-N
eF6
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
