谢娜演过的全部电视剧:【转载】ASP网站漏洞的攻击原理及防御办法 - 系统攻防 - 360论坛

来源：百度文库 编辑：九乡新闻网 时间：2024/05/07 02:48:16
【好学者】

系统攻防版主

金币：1537

经验：8947

等级：高中二年级

功勋：14

短信

[回到顶部][奖励金币][回复此楼][引用][举报] 1 楼 2011-04-15 19:27

【转载】ASP网站漏洞的攻击原理及防御办法

1、用户名与口令被破解
攻击原理：用户名与口令，往往是黑客们最感兴趣的东西，如果被通过某种方式看到源代码，后果是严重的。防范技巧：涉及用户名与口令的程序最好封装在服务器端，尽量少在ASP文件里出现，涉及与数据库连接的用户名与口令应给予最小的权限。出现次数多的用户名与口令可以写在一个位置比较隐蔽的包含文件中。如果涉及与数据库连接，在理想状态下只给它以执行存储过程的权限，千万不要直接给予该用户修改、插入、删除记录的权限。

2、验证被绕过
攻击原理：现在需要经过验证的ASP程序大多是在页面头部加一个判断语句，但这还不够，有可能被黑客绕过验证直接进入。

防范技巧：需要经过验证的ASP页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。


3、Inc文件泄露问题
攻击原理：当存在ASP的主页正在制作且没有进行最后调试完成以前，可以被某些搜索引擎机动追加为搜索对象。如果这时候有人利用搜索引擎对这些网页进行查找，会得到有关文件的定位，并能在浏览器中查看到数据库地点和结构的细节，并以此揭示完整的源代码。

防范技巧：程序员应该在网页发布前对它进行彻底的调试；安全专家则需要加固ASP文件以便外部的用户不能看到它们。首先对.inc文件内容进行加密，其次也可以使用.asp文件代替.inc文件使用户无法从浏览器直接观看文件的源代码。inc文件的文件名不要使用系统默认的或者有特殊含义容易被用户猜测到的名称，尽量使用无规则的英文字母。

4、自动备份被下载
攻击原理：在有些编辑ASP程序的工具中，当创建或者修改一个ASP文件时，编辑器自动创建一个备份文件，比如：UltraEdit就会备份一个.bak文件，如你创建或者修改了some.asp，编辑器会自动生成一个叫some.asp.bak文件，如果你没有删除这个bak文件，攻击者可以直接下载some.asp.bak文件，这样some.asp的源程序就会被下载。

防范技巧：上传程序之前要仔细检查，删除不必要的文档。对以BAK为后缀的文件要特别小心。

5、特殊字符
攻击原理：输入框是黑客利用的一个目标，他们可以通过输入脚本语言等对用户客户端造成损坏；如果该输入框涉及数据查询，他们会利用特殊查询语句，得到更多的数据库数据，甚至表的全部。因此必须对输入框进行过滤。但如果为了提高效率仅在客户端进行输入合法性检查，仍有可能被绕过。

防范技巧：在处理类似留言板、BBS等输入框的ASP程序中，最好屏蔽掉HTML、java script、VBScript语句，如无特殊要求，可以限定只允许输入字母与数字，屏蔽掉特殊字符。同时对输入字符的长度进行限制。而且不但要在客户端进行输入合法性检查，同时要在服务器端程序中进行类似检查。

6、数据库下载漏洞
攻击原理：在用Access做后台数据库时，如果有人通过各种方法知道或者猜到了服务器的Access数据库的路径和数据库名称，那么他也能够下载这个Access数据库文件，这是非常危险的。

防范技巧： 为你的数据库文件名称起个复杂的非常规的名字，并把它放在几层目录下。所谓 “非常规”， 打个比方说，比如有个数据库要保存的是有关书籍的信息， 可不要给它起个“book.mdb”的名字，而要起个怪怪的名称，比如d34ksfslf.mdb， 并把它放在如./kdslf/i44/studi/的几层目录下，这样黑客要想通过猜的方式得到你的Access数据库文件就难上加难了。

加入360督导委员会 参与全民护安全！ 　　　　　　　　 360论坛编辑部火热招聘ing

【转载】ASP网站漏洞的攻击原理及防御办法 - 系统攻防 - 360论坛 【菜鸟入门】--常用的八种安全工具使用及防御方法 - 系统攻防 - 360论坛 被ARP攻击的通用解决办法 - 系统攻防 - 360论坛 智能主动防御系统方案设计 - 系统攻防 - 360论坛 让我们来认识漏洞 - 系统攻防 - 360论坛 【转载】ping命令的高级用法 - 系统攻防 - 360论坛 【技术】网络监听攻击技术 - 系统攻防 - 360论坛 端口【转载】 - 系统攻防 - 360论坛 Web应用安全：黑客攻击的十大诱因 - 系统攻防 - 360论坛 电脑防止被攻击的安全准则 - 系统攻防 - 360论坛 说说ARP防火墙原理 - 系统攻防 - 360论坛 WEB安全防护新思路：双重保护、立体防御 - 系统攻防 - 360论坛 让我们来认识Windows进程【转载】 - 系统攻防 - 360论坛 网络基础知识及常用软件 - 系统攻防 - 360论坛 【转载】关于编程的浅学习与深学习 - 系统攻防 - 360论坛 SYN Flood攻击的基本原理及防御 SYN Flood攻击的基本原理及防御 系统攻防新闻【第四期】 - 系统攻防 - 360论坛 网络安全的八个“潜规则” - 系统攻防 - 360论坛 识别病毒的几种方法 - 系统攻防 - 360论坛 DOS命令 - 系统攻防 - 360论坛 计算机管理 - 系统攻防 - 360论坛 组策略 - 系统攻防 - 360论坛 怎样编程序 - 系统攻防 - 360论坛