您现在正在浏览：站长之家 >> 服务器 >> 详细内容

杜绝ASP网站漏洞入侵的八大法则

时间:2007-10-27 来源:不详作者:林仙

　　7、防范远程注入攻击

　　这类攻击在以前应该是比较常见的攻击方式，比如POST攻击，攻击者可以随便的改变要提交的数据值已达到攻击目的。又如：COOKIES的伪造，这一点更值得引起程序编写者或站长的注意，不要使用COOKIES来做为用户验证的方式，否则你和把钥匙留给贼是同一个道理。

比如:

Iftrim(Request.cookies("uname"))="fqy"andRequest.cookies("upwd")
=”fqy#e3i5.com”then
……..more………
Endif

　　我想各位站长或者是喜好写程序的朋友千万别出这类错误，真的是不可饶恕。伪造COOKIES都多少年了，你还用这样的就不能怪别人跑你的密码。涉及到用户密码或者是用户登陆时，你最好使用session它才是最安全的。如果要使用COOKIES就在你的COOKIES上多加一个信息，SessionID，它的随机值是64位的，要猜解它，不可能。例：

ifnot(rs.BOForrs.eof)then
login="true"
Session("username"&sessionID)=Username
Session("password"&sessionID)=Password
’Response.cookies(“username”)=Username
’Response.cookies(“Password”)=Password　
　
　　下面我们来谈谈如何防范远程注入攻击,一般的攻击都是将单表提交文件拖到本地,将FormACTION=”chk.asp”指向你服务器中处理数据的文件即可.如果你全部的数据过滤都在单表页上，那么恭喜你，你将已经被脚本攻击了.怎么才能制止这样的远程攻击?好办,请看代码如下：程序体(9)

＜%
server_v1=Cstr(Request.ServerVariables("HTTP_REFERER"))
server_v2=Cstr(Request.ServerVariables("SERVER_NAME"))
ifmid(server_v1,8,len(server_v2))＜＞server_v2then
response.write"＜br＞＜br＞＜center>"
response.write""
response.write"你提交的路径有误，禁止从站点外部提交数据请不要乱改参数！"
response.write"
"
response.end
endif
%>

　　个人感觉上面的代码过滤不是很好，有一些外部提交竟然还能堂堂正正的进来，于是再写一个。这个是过滤效果很好，建议使用。

ifinstr(request.servervariables
("http_referer"),"http://"&request.servervariables("host"))<1then
response.write"处理URL时服务器上出错。如果您是在用任何手段攻击服务器，那你应该庆幸，你
的所有操作已经被服务器记录，我们会第一时间通知公安局与国家安全部门来调查你的IP."