今天写一篇关于站点安全的文章。 Is1(]^EE*
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ 9_ru*j\
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ 2vh@KnNU
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： UZJ<|[
<% %]1.)
j
'''''''''''''''''''''''''''''''''''''''''''''''' :HW\awv
'ASP通用防注入代码 c[<>e#s+;
'您可以把该代码COPY到头文件中.也可以单独作 R+b~m!5 8
'为一个文件存在,每次调用使用 n3
B#M}R
'''''''''''''''''''''''''''''''''''''''''''''''' 7*I:cga
Dim GetFlag Rem(提交方式) $z48~nu@ j
Dim ErrorSql Rem(非法字符) m]D3ec\K'
Dim RequestKey Rem(提交数据) +]dh`8*8>1
Dim ForI Rem(循环标记) K);)$ 8K
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) Kd;Iu\4hv
ErrorSql = split(ErrorSql,"~") 5zi}O GtXv
If Request.ServerVariables("REQUEST_METHOD")="GET" Then poU1Q#+4p*
GetFlag=True odsLFU(
Else ^<OcbO n;O
GetFlag=False #Bo3 :B8
End If "
.<>(bE
If GetFlag Then Yx3ivjX.>
For Each RequestKey In Request.QueryString -Wm'@4bH
For ForI=0 To Ubound(ErrorSql) u0{ R;)
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then ;]\>jC
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" 7,7-E&d
Response.End wS+ekt5
End If *VV#o/Q p
Next UVlh7w jg
Next -|g9__|@
Else b9RJ>K
For Each RequestKey In Request.Form YU ,fx<c
For ForI=0 To Ubound(ErrorSql) )1, U~+JFU
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then H zc5BC
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" (\M#Ay t)
Response.End U!O" f
End If *F;W 1TF
Next `W9~u: F
Next < 19A=
End If ,+GS .]8<
%> NE 5H\
------------------------------------------------------------------------------------------------------------------- Ls 6C*<8
L"Dos +
第二个： me ,lE-
cJLAP%.L
<% U~I
y),5
'防止注入 !=bGU= ^
dim qs,errc,iii OuMj%I
qs=lcase(request.servervariables("query_string")) u ?7^+z
'response.write(qs) +% !'~
dim deStr(18) 4l rKU^-
deStr(0)="net user" ?DgeKA"A
deStr(1)="xp_cmdshell" Ou7nk:I@
deStr(2)="/add" 1EAQ ~S!2
deStr(3)="exec%20master.dbo.xp_cmdshell" E]dc4US
deStr(4)="net localgroup administrators" 9!?Ywc>0#
deStr(5)="select" ^d@ME<mb
deStr(6)="count" *)D
$w_06S
deStr(7)="asc" 2|\W aH9P
deStr(8)="char" S8
k<}5
deStr(9)="mid" KD^n7+w%
deStr(10)="'" *4OB
88$
deStr(11)=":" LMHii Os,
deStr(12)="""" m(KBg'kQ
deStr(13)="insert" vw w>] Z}
deStr(14)="delete" L}= t"y
deStr(15)="drop" a&Z;$
deStr(16)="truncate" 6lob&+
deStr(17)="from" ?*L{x
NC#
deStr(18)="%" r)|6H"n#]S
errc=false )<(3 .M
for iii= 0 to ubound(deStr) a3J'
c
if instr(qs,deStr(iii))<>0 then \OE,(9T2P.
errc=true nq
q qP
end if !S#K6:
next }ui D8b{I
if errc then I_5 [-9
Response.Write("对不起，非法URL地址请求!") @~&1
!
response.end $bFH%EA.
end if hV}C.- 6h
%> K^e4w`F|
>XPR)&t
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
