站点安全简单防范 [复制链接]

今天写一篇关于站点安全的文章。 C) "|sG  
  很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ B!cg)Y?.bd  
  所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ fUgI*V  
  关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： pC'GKk 8  
<% -O-qEQd  
'''''''''''''''''''''''''''''''''''''''''''''''' D#n^U `\if  
'ASP通用防注入代码 aPMqJ#fIr  
'您可以把该代码COPY到头文件中.也可以单独作 ;n,@[v  
'为一个文件存在,每次调用使用 PME ?{%&  
'''''''''''''''''''''''''''''''''''''''''''''''' -] .Y";  
Dim GetFlag Rem(提交方式) (C EXPf  
Dim ErrorSql Rem(非法字符) p
x1{=~V/  
Dim RequestKey Rem(提交数据) (S[" ak  
Dim ForI Rem(循环标记) ;f7;U=gl,  
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) __, 1;=  
ErrorSql = split(ErrorSql,"~") RuHMD"  
If Request.ServerVariables("REQUEST_METHOD")="GET" Then -6KGQc}U  
GetFlag=True Z:PsQ~M  
Else #}rv)  
GetFlag=False 51k^?5cO  
End If :5`BhFAd  
If GetFlag Then 6{r^ 3Hz  
For Each RequestKey In Request.QueryString U,4:yc,)s  
For ForI=0 To Ubound(ErrorSql) 9ZEF%&58Y  
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then -Vi"hSsUP  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" N{<=s]I%x  
Response.End 3+2&@:$t  
End If JS<4%@  
Next &k+'TcWm  
Next w3=Bj  
Else 6KD  
For Each RequestKey In Request.Form N3Jfp3_b@  
For ForI=0 To Ubound(ErrorSql) 1MCHwX3/  
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then t%n3~i4X:  
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" "38ya2*  
Response.End (&G4@Vd  
End If @]H:=Q'gj  
Next jK^'s6i#  
Next :+SpZ>  
End If IP`;hC  
%> /v1Rn*VF!  
------------------------------------------------------------------------------------------------------------------- 6/Coi,om  
Tv&-n  
第二个： G,8LF/sR  
^p0BeSRiy;  
<% FN&.PdRT  
'防止注入 a N|MB
X;  
dim qs,errc,iii ,afh]#  
qs=lcase(request.servervariables("query_string")) bS+by'Ea1W  
'response.write(qs) 12
Hy.l  
dim deStr(18) dw60m,m  
deStr(0)="net user" q
xsK-8KT<  
deStr(1)="xp_cmdshell" .`OdnLGy  
deStr(2)="/add" 6uYCU|JsU  
deStr(3)="exec%20master.dbo.xp_cmdshell" 1YA_`_@w  
deStr(4)="net localgroup administrators" ':f
q  
deStr(5)="select" Ny>tJ~I  
deStr(6)="count" J['paHSF  
deStr(7)="asc" ?[\(i)]  
deStr(8)="char" ~$N%UQn?b#  
deStr(9)="mid" -VESe}c:nQ  
deStr(10)="'" 3JiDi X"|  
deStr(11)=":" `R]9+_"N  
deStr(12)="""" uOqWMRsoi
 
deStr(13)="insert" `V@{#+X  
deStr(14)="delete" wyk4v}  
deStr(15)="drop" %/:{x()G  
deStr(16)="truncate" aD~3C/?aW  
deStr(17)="from" $^Dx4:k<2  
deStr(18)="%" .ya^8
gM  
errc=false lbv9 kk[
 
for iii= 0 to ubound(deStr) CqUK[#kW(  
if instr(qs,deStr(iii))<>0 then 05\A7.iy  
errc=true Uu9\;f  
end if eyZ /%4'q  
next 7B$iM,}.b  
if errc then L_.
BcRy  
Response.Write("对不起，非法URL地址请求!") OgNt"Vg  
response.end JBCcR,\kM*  
end if )jK"\'cK  
%> /!kKL$j  
i51
~/ R  
  注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！

这里是讨论邮件防病毒与防垃圾邮件的版区。

)DsC:cP