今天写一篇关于站点安全的文章。 k}908%w
很多人做网站，直接下源代码，比如动易，动网等等，除了论坛代码本身爆出的漏洞之外，站长本身不对论坛的一些敏感信息进行修改。别人只需要简单的分析一下整站系统的版本，就能知道整站源代码，然后就能知道默认管理员账号和登录连接，还有就是能知道数据库路径等等！ Y^ ti;:
所以我们下好整站系统之后就要相应的修改数据库路径以及管理账号和密码，同时要打好补丁！ V?C_PMa
关于自己亲手写的代码，要做好防注入，以下列出两个通用防注入代码： /e50&]2w
<% ;o?Wn=J
'''''''''''''''''''''''''''''''''''''''''''''''' BDc "0XH
'ASP通用防注入代码 :qxd
s> Xm
'您可以把该代码COPY到头文件中.也可以单独作 E|BiK
'为一个文件存在,每次调用使用 n,o;:c
'''''''''''''''''''''''''''''''''''''''''''''''' 0qk.NPMB0
Dim GetFlag Rem(提交方式) QMBV" E_aY
Dim ErrorSql Rem(非法字符) H\RuYCn2G
Dim RequestKey Rem(提交数据) >YP
]IQ
Dim ForI Rem(循环标记) 2\L}Ka|v
ErrorSql = "'~;~and~(~)~exec~update~count~*~%~chr~mid~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开) L~} 2&w
ErrorSql = split(ErrorSql,"~") 1Jn:
huV2
If Request.ServerVariables("REQUEST_METHOD")="GET" Then (IIOVv
1J
GetFlag=True .ta*M{t
Else mqv!"rk'w
GetFlag=False (( E5w:=?
End If }c;h:CE#
If GetFlag Then m9li% p
For Each RequestKey In Request.QueryString ]zR,Y=
#
For ForI=0 To Ubound(ErrorSql) 5c+7c@.
If Instr(LCase(Request.QueryString(RequestKey)),ErrorSql(ForI))<>0 Then [.*o<
KP
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>"
MnT+p[.
Response.End Oo`b#!L
End If `^1&Qz >
Next ! |;w(/
Next + {/*P 5
Else gA~faje
For Each RequestKey In Request.Form oQ_n:<3 X
For ForI=0 To Ubound(ErrorSql) pTzfc`~xv
If Instr(LCase(Request.Form(RequestKey)),ErrorSql(ForI))<>0 Then iT"H%{+~
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""index.asp"";</script>" % {K6
Response.End J6*B=PX=(
End If a& ~]77)
Next K)n0?
Q_>
Next 9KLhAYaq
End If }dSxrT
%> a F
rVP
------------------------------------------------------------------------------------------------------------------- A}Gj;vaw
"K$
y(}
C
第二个： Mb[4G>-v=
,O}2LaK.O
<% ||vQW\g
'防止注入 y1zep\-D
dim qs,errc,iii H=k `7YN
qs=lcase(request.servervariables("query_string")) 0CS80
pC
'response.write(qs) O-K!Bv^
Q
dim deStr(18) *3W e5
deStr(0)="net user" ^_^rI+cTX1
deStr(1)="xp_cmdshell" 7
LdNE|IP
deStr(2)="/add" x1ID6kI[{*
deStr(3)="exec%20master.dbo.xp_cmdshell" D:Y `{ {
deStr(4)="net localgroup administrators" X>6VucH{\
deStr(5)="select" rXR}]|;>
deStr(6)="count" uyDYS
deStr(7)="asc" TAn.5
wH9t
deStr(8)="char" ~*Ir\wE
deStr(9)="mid" i WNTI
deStr(10)="'" %D:5 S?{
deStr(11)=":" M[ZuXH}
deStr(12)="""" q;a#?Du o
deStr(13)="insert" `L<)9*
deStr(14)="delete" `O/RNMaC
deStr(15)="drop" @5-+>\Hd^t
deStr(16)="truncate" vXi}B
deStr(17)="from" 3kBpH7h
4
deStr(18)="%" -?Aa RwZ,
errc=false .+c YzS] !
for iii= 0 to ubound(deStr) 59I}
if instr(qs,deStr(iii))<>0 then kg_f;uk+
errc=true tHo0q<.oX
end if DLrG-C3 3
next #O .-/&Z
if errc then 4D\+_Ic3
Response.Write("对不起，非法URL地址请求!") |uE _aFQs
response.end 4ng*SE _
end if lZup n?
%> e`Z3{H}
,.+"10=N.
注入漏洞是最常见的漏洞，还有在线编辑漏洞，网上都有相关的防范方法。站点安全尤为重要，对站点的使用者有很大的影响，站点不安全，服务器就存在威胁！
