|
马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。
您需要 登录 才可以下载或查看,没有帐号?立即注册
x
asp是基于web的一种编程技术,可以说是cgi的一种。它可以完成以往cgi程序的所有功能,如计数器、留言簿、公告板、聊天室等等。 本文次要叙及有关asp/iis的平安性成绩及其响应对策,不倡始网友利用本文说起的办法举行任何损坏,不然带来的成果自信,经由过程asp进侵webserver,夺取文件损坏体系,这决非骇人听闻...
iis的平安性成绩
1.iis3/pws的毛病
我实行过,win95+pws上运转ASP程序,只须在扫瞄器地点栏内多加一个小数点ASP程序就会被下载上去。IIS3传闻也有一样的成绩,不外我没有试出来。
2.iis4的毛病
iis4一个广为人知的毛病是::$DATA,就是ASP的url后多加这几个字符后,代码也能够被看到,利用ie的viewsource就可以看到asp代码。win98+pws4没有这个成绩。
办理的举措有几种,一是将目次设置为不成读(ASP仍能实行),如许html文件就不克不及放在这个目次下,不然html不克不及扫瞄。二是安装微软供应的补钉程序。三是在服务器上顺次安装sp3+ie4.01sp1+optionpack+sp4。
3.撑持ASP的收费主页面对的成绩
你的ASP代码大概被人失掉。ASP1.0的例子里有一个文件用来检察ASP原代码,ASPSamp/Samples/code.asp假如有人把这个程序弄上往了,他就能够检察他人的程序了。
比方:code.asp?source=/someone/aaa.asp
你利用的ACCESS数据库大概被人下载既然ASP程序能够被人失掉,他人就可以十拿九稳的晓得你的数据库放在那边,并下载它,假如数据库里含有的暗码不加密,那...就很伤害了。
webmaster应当接纳必定的措施,严禁code.asp之类的程序(仿佛很难办到,但能够按期检索特性代码),限定mdb的下载(不知行不可)。
4.来自filesystemobject的威逼
IIS4的ASP的文件操纵能够经由过程filesystemobject完成,包含文本文件的读写目次操纵、文件的拷贝更名删除等,可是这个东东也很伤害。使用filesystemobjet能够改动下载fat分区上的任何文件,即便是ntfs,假如权限没有设定好的话,一样也能损坏,遗憾的是良多webmaster只晓得让web服务器运转起来,很少对ntfs举行权限设置。
好比,一台供应假造主机服务的web服务器,假如权限没有设定好,用户能够十拿九稳地改动删除呆板上地任何文件,乃至让nt溃散。
程序请参考http://www.chinaasp.com/上的activeserverexplorer,该程序能够扫瞄不设防web服务器的一切文件和目次。
webmater应当将web目次建tfs分区上,非web目次不要利用everyonefullcontrol,而应当是administrator才能够fullcontrol。
告诫:任何人不得使用此程序打击别人的站点。
优点:简单易学、开发速度快、有很多年“历史”,能找到非常多别人做好的程序来用、配合activeX功能强大,很多php做不到的asp+activeX能做到,例如银行安全控件 |
|