網站建設：ASP網站防範駭客技巧

【簡 介】
如何更好的達到防範駭客攻擊，本人提一下個人意見！第一，免費程式不要真的就免費用，既然你可以共享原碼，那麼攻擊者一樣可以分析程式碼。如果在細節上注意防範，那樣你站點的安全性就大大的提高了。

　　如何更好的達到防範駭客攻擊，本人提一下個人意見！第一，免費程式不要真的就免費用，既然你可以共享原碼，那麼攻擊者一樣可以分析程式碼。如果在細節上注意防範，那樣你站點的安全性就大大的提高了。即使出現了SQL Injection這樣的漏洞，攻擊者也不可能馬上拿下你的站點。　由於ASP的方便易用，越來越多的網站後臺程式都使用ASP指令碼語言。但是， 由於ASP本身存在一些安全漏洞，稍不小心就會給駭客提供可乘之機。事實上，安全不僅是網管的事，程式設計人員也必須在某些安全細節上注意，養成良好的安全習慣，否則會給自己的網站帶來巨大的安全隱患。目前，大多數網站上的ASP程式有這樣那樣的安全漏洞，但如果編寫程式的時候注意一點的話，還是可以避免的。 

　　1、使用者名稱與口令被破解

　　攻擊原理：使用者名稱與口令，往往是駭客們最感興趣的東西，如果被透過某種方式看到原始碼，後果是嚴重的。

　　防範技巧：涉及使用者名稱與口令的程式最好封裝在伺服器端，儘量少在ASP檔案裡出現，涉及與資料庫連線的使用者名稱與口令應給予最小的許可權。出現次數多的使用者名稱與口令可以寫在一個位置比較隱蔽的包含檔案中。如果涉及與資料庫連線，在理想狀態下只給它以執行儲存過程的許可權，千萬不要直接給予該使用者修改、插入、刪除記錄的許可權。

　　2、驗證被繞過

　　攻擊原理：現在需要經過驗證的ASP程式大多是在頁面頭部加一個判斷語句，但這還不夠，有可能被駭客繞過驗證直接進入。

　　防範技巧：需要經過驗證的ASP頁面，可跟蹤上一個頁面的檔名，只有從上一頁面轉進來的會話才能讀取這個頁面。

　　3、inc檔案洩露問題

　　攻擊原理：當存在ASP的主頁正在製作且沒有進行最後除錯完成以前，可以被某些搜尋引擎機動追加為搜尋物件。如果這時候有人利用搜尋引擎對這些網頁進行查詢，會得到有關檔案的定位，並能在瀏覽器中檢視到資料庫地點和結構的細節，並以此揭示完整的原始碼。

　　防範技巧：程式設計師應該在網頁釋出前對它進行徹底的除錯；安全專家則需要加固ASP檔案以便外部的使用者不能看到它們。首先對.inc檔案內容進行加密，其次也可以使用.asp檔案代替.inc檔案使使用者無法從瀏覽器直接觀看檔案的原始碼。inc檔案的檔名不要使用系統預設的或者有特殊含義容易被使用者猜測到的名稱，儘量使用無規則的英文字母。

　　4、自動備份被下載

　　攻擊原理：在有些編輯ASP程式的工具中，當建立或者修改一個ASP檔案時，編輯器自動建立一個備份檔案，比如：UltraEdit就會備份一個.bak檔案，如你建立或者修改了some.asp，編輯器會自動生成一個叫some.asp.bak檔案，如果你沒有刪除這個bak檔案，攻擊者可以直接下載some.asp.bak檔案，這樣some.asp的源程式就會被下載。

　　防範技巧：上傳程式之前要仔細檢查，刪除不必要的文件。對以BAK為字尾的檔案要特別小心。

　　5、特殊字元

　　攻擊原理：輸入框是駭客利用的一個目標，他們可以透過輸入指令碼語言等對使用者客戶端造成損壞；如果該輸入框涉及資料查詢，他們會利用特殊查詢語句，得到更多的資料庫資料，甚至表的全部。因此必須對輸入框進行過濾。但如果為了提高效率僅在客戶端進行輸入合法性檢查，仍有可能被繞過。

　　防範技巧：在處理類似留言板、BBS等輸入框的ASP程式中，最好遮蔽掉HTML、javaScript、VBScript語句，如無特殊要求，可以限定只允許輸入字母與數字，遮蔽掉特殊字元。同時對輸入字元的長度進行限制。而且不但要在客戶端進行輸入合法性檢查，同時要在伺服器端程式中進行類似檢查。

　　6、資料庫下載漏洞

　　攻擊原理：在用Access做後臺資料庫時，如果有人透過各種方法知道或者猜到了伺服器的Access資料庫的路徑和資料庫名稱，那麼他也能夠下載這個Access資料庫檔案，這是非常危險的。

　　防範技巧：

　　（1）為你的資料庫檔名稱起個複雜的非常規的名字，並把它放在幾層目錄下。所謂 “非常規”， 打個比方說，比如有個資料庫要儲存的是有關書籍的資訊， 可不要給它起個“book.mdb”的名字，而要起個怪怪的名稱，比如d34ksfslf.mdb， 並把它放在如./kdslf/i44/studi/的幾層目錄下，這樣駭客要想透過猜的方式得到你的Access資料庫檔案就難上加難了。

　　（2）不要把資料庫名寫在程式中。有些人喜歡把DSN寫在程式中，比如：

　　DBPath = Server.MapPath（“cmddb.mdb”）

　　conn.Open “driver={Microsoft Access Driver （*.mdb）}；dbq=” & DBPath

　　假如萬一給人拿到了源程式，你的Access資料庫的名字就一覽無餘了。因此建議你在ODBC裡設定資料來源，再在程式中這樣寫：

　　conn.open“shujiyuan”

　　（3）使用Access來為資料庫檔案編碼及加密。首先在“工具→安全→加密/解密資料庫”中選取資料庫（如：employer.mdb），然後按確定，接著會出現“資料庫加密後另存為”的視窗，可存為：“employer1.mdb”。

　　要注意的是，以上的動作並不是對資料庫設定密碼，而只是對資料庫檔案加以編碼，目的是為了防止他人使用別的工具來檢視資料庫檔案的內容。

　　接下來我們為資料庫加密，首先開啟經過編碼了的 employer1.mdb，在開啟時，選擇“獨佔”方式。然後選取功能表的“工具→安全→設定資料庫密碼”，接著輸入密碼即可。這樣即使他人得到了employer1.mdb檔案，沒有密碼他也是無法看到 employer1.mdb中的內容。