在 Ｗｅｂ 数据库访问的多种技术中， ＡＳＰ 以其开发周期短、存取数据库方便、执行效率高而成为众多网站程序员的首选开发技术。因此 ＡＳＰ 网站的安全性成为不容忽视的重要问题。本文旨在分析 ＡＳＰ 执行过程及在网络安全上的优点， 指出提供 ＡＳＰ 服务的操作系统的漏洞和 ＡＳＰ 程序的漏洞及解决方法， 并给出安全性建议。

 　　ＡＳＰ 脚本是使用 ＶＢＳｃｒｉｐｔ， ＪａｖａＳｃｒｉｐｔ 或 ＪＳｃｒｉｐｔ 脚本语言编写的， 与标准 ＨＴＭＬ 页面混合在一起的脚本所构成的文本格式的文件。当 Ｗｅｂ 浏览器向 Ｗｅｂ 服务器发出 ＨＴＴＰ 请求， 访问 ＡＳＰ 文件时， Ｗｅｂ 服务器判断出该请求的 ＡＳＰ 文件含有“＜％”和“％＞”后，调用 ＡＳＰ．ＤＬＬ， 进行语法分析、解释执行， 然后将最终结果转换成为标准的 ＨＴＭＬ 格式内容， 返回给 Ｗｅｂ 浏览器， 由 Ｗｅｂ 浏览器显示。这是一次完整的 ＡＳＰ 执行过程。

　　ＡＳＰ 在网络安全方面主要有以下优点：

 一是不泄漏源代码

　　相比客户端执行的 ＪａｖａＳｃｒｉｐｔ 程序，ＡＳＰ在网络安全上的优点之一是用户不能看到 ＡＳＰ 源程序。因为传到浏览器端的只是转换成 ＨＴＭＬ 语言的结果；

二是支持虚拟目录

　　虚拟目录的建立在网络安全上有重要意义。因为虚拟目录方式可以隐藏站点目录结构。而且网站源代码不需要任何修改， 就可以搬迁到另一台服务器上正常运行。另外， 管理员可以对虚拟目录设置不同的操作权限， 从而方便管理， 并且提高程序的安全性。然而， ＡＳＰ 也给 ｗｅｂ 站点带来了许多安全隐患， 作为网站， 数据库存在的基石， 操作系统的安全也是至关重要的。

１ 权限管理

 　　权限管理是保证 Ｗｅｂ 站点正常运行的最重要的方面， ＩＩＳ 的权限管理是与 Ｗｉｎｄｏｗｓ 紧密相关的。主要包括以下几个方面：

１．１ Ｗｉｎｄｏｗｓ 的权限管理

 （１）ＮＴＦＳ 的权限管理 作为一个 Ｗｅｂ 服务器， 所有的磁盘分区都应该是 ＮＴＦＳ 格式的。使用 ＮＴＦＳ 文件系统， 只将最有限、最合适的 ＮＴＦＳ 权限分配给用户。

 （２）账号管理 对于 Ｗｉｎｄｏｗｓ 用户也要严格控制， 应尽可能地停用 Ｇｕｅｓｔ 账号， 尽量不使用管理员身份登录系统， 必要时可以在组策略中对用户密码进行限制。

 （３）共享权限的修改在 ｗｉｎｄｏｗｓ２０００ 系统默认情况下， 每建立一个新的共享， Ｅｖｅｒｙｏｎｅ 用户就享有“完全控制”的共享权限， 因此， 在建立新的共享后应该立即修改 Ｅｖｅｒｙｏｎｅ 的缺省权限， 至少把“完全控制”去掉。

１．２ ＩＩＳ 的权限管

　（１）设置文件夹和文件的访问权限安放在 ＮＴＦＳ 文件系统上的文件夹和文件， 一方面要对其权限加以控制， 对不同的组和用户设置不同的权限； 另外， 还可以利用 ＮＴＦＳ 的审核功能对某些特定组的成员读、写文件等方面进行审核， 通过监视“文件访问”、“用户对象的使用”等动作， 来有效地防范非法用户。具体方法： 选择“开始”选单→“程序”→启动“域用户管理器”→选择“规则”选项卡下的“审核”选项→设置“审核规则”。

　（２）在设置 Ｗｅｂ 服务器权限时， 必须遵循下列原则： 对包含．ａｓｐ 文件和其它需要“执行”权限才能运行的文件如（．ｅｘｅ 和．ｄｌｌ 文件等） 的虚目录允许“读”和“执行”权限。其它情况都设置为“读”和“脚本”权限。

　（３）脚本映射 ＩＩＳ 使用名为 ＩＳＡＰＩＥｘｔｅｎｓｉｏｎ（ＩＩＳ 应用程序编程接口） 程序追加各种各样的功能。如果向 ＩＩＳ 请求预留有关联扩展口的文件， ＩＳＡＰＩＥｘｔｅｎｓｉｏｎ 就会被调出。这种关联就是“脚本映射”。因 ＩＳＡＰＩＥｘｔｅｎｓｉｏｎ 而引起的安全漏洞很多。曾经一度泛滥危害尤烈的“红色代码”及“红色代码 ＩＩ”蠕虫利用的就是 ＩＳＡＰＩＥｘｔｅｎｓｉｏｎ 中的“ｉｄｑ．ｄｌｌ”。通过删除脚本映射， 就可以消除 ＩＳＡＰＩＥｘｔｅｎｓｉｏｎ 的影响。不过， ＩＳＡＰＩＥｘｔｅｎｓｉｏｎ 的功能也就无法使用了。 如果不需要， 建议删除以下映射： Ｉｎｄｅｘ Ｓｅｒｖｅｒ Ｗｅｂ Ｉｎｔｅｒｆａｃｅ（．ｉｄｑ） Ｓｅｒｖｅｒ Ｓｉｄｅ Ｉｎｃｌｕｄｅｓ（．ｓｈｔｍ ｌ，．ｓｈｔｍ，．ｓｔｍ）Ｉｎｔｅｒｎｅｔ Ｄａｔａ Ｃｏｎｎｅｃｔｏｒ（．ｉｄｃ）Ｉｎｔｅｒｎｅｔ Ｐｒｉｎｔｉｎｇ（．ｐｒｉｎｔｅｒ）

　ＨＴＲ Ｓｃｒｉｐｔｉｎｇ （．ｈｔｒ） 如果使用 ａｓｐ 的话， 一定要保留 ＡｃｔｉｖｅＳｅｒｖｅｒ Ｐａｇｅｓ （．ａｓｐ）这映射， 否则 ＡＳＰ 程序无法正常运行。

　（４）Ｇｌｏｂａｌ．ａｓａ 文件的安全 我们知道， 运行 ＡＳＰ 程序的 Ｗｉｎｄｏｗｓ 服务器， 在 ＡＳＰ 程序根目录下一般存在一个叫 ｇｌｏｂａ ｌ．ａｓａ 的文件， ＡＳＰ 程序的各种初始化配置和数据库密码等关键信息一般都放在这个文件里面。一般来说， ＡＳＰ 程序员的数据库密码不是放在 ｇｌｏｂａｌ．ａｓａ 中就是在每个 ＡＳＰ 文件中。这种密码以明文的方式储存在文件中的做法， 是 ＩＩＳ ｓｅｒｖｅｒ 最大的安全隐患之一。为了充分保护 ＡＳＰ 应用程序， 一定要在应用程序的 Ｇｌｏｂａｌ．ａｓａ 文件上为适当的用户或用户组设置 ＮＴＦＳ 文件权限。

　（５）安装最新的补丁。

　（６）关闭不使用的服务和协议。

　（７）不要把密码、物理路径直接写在程序中。把密码和用户名保存在虚拟目录中的数据库中。

　（８）应该有一个网站操作日志， 将尽可能多的详细信息包括用户的浏览器、用户停留的时间、用户 ＩＰ、普通管理员操作情况等）记录在网站操作日志中， 其中， 记录 ＩＰ 是很重要的。如果用户使用了代理， 则只能记录代理的 ＩＰ。可用下面的语句了解客户端和服务端的信息：

 ＜％ｆｏｒ ｅａｃｈ ｎａｍｅ ｉｎ ｒｅｑｕｅｓｔ．Ｓｅｒｖｅｒｖａｒｉａｂｌｅｓ

 ｒｅｓｐｏｎｓｅ．ｗｒｉｔｅ ｎａｍｅ

 ｒｅｑｕｅｓｔ．ｓｅｒｖｅｒｖａｒｉａｂｌｅｓ（ｎａｍｅ）

 ｎｅｘｔ％＞

　（９）安装防火墙。

　（１０）采用数据加密技术 数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术 ４ 种。

 ２ ＡＳＰ 安全漏洞及解决方法

２．１ ＡＳＰ 源代码泄漏

在使用 Ｗｉｎ９５＋ｐｗｓ 或 ＩＩＳ３．０ 的网站中， 如果输入一些特殊符号包括小数点： ％８１， ：：￥ＤＡＴＡ， ％２ｅ， ％２ｅ％４１ｓｐ， ％２ｅ％ａｓｐ， 将可以在客户端看到 ＡＳＰ 源程序。如： ｈｔｔｐ：／／ ｓｏｍｅｕｒｌ／ｓｏｍｅｐａｇｅ．ａｓｐ：：￥ＤＡＴＡ， 解决方法是安装 ＩＩＳ４．０， ＩＩＳ５．０ 或 ＰＷＳ４．０。

２．２ 脚本安全隐患

　　 一般而言， 脚本文件都要结合数据库来使用， 如 ＡＣＣＥＳＳ、ＭＳＳＱＬ、等。脚本攻击就是针对访问数据库的脚本对一些变量过滤不严的问题而达到得到用户密码等敏感信息、修改数据库等目的。

　（１） 如果网站留言簿的 ＡＳＰ 程序没有屏蔽 ＨＴＭＬ 语句， 输入ＨＴＭＬ 语句， 比如： ＜ａ ｈｒｅｆ ＝ ＂ ｕｒｌ＂ ｏｎｍｏｕｓｅｏｖｅｒ ＝ ＇ ｗｈｉｌｅ （１） ｛ａｌｅｒｔ （ ＂Ｈｉ！ ＂ ） ；｝＇ ＞你好＜ ／ ａ ＞ 只要查看该留言的用户鼠标滑过“你好”， 就会弹出无数的“Ｈｉ！”窗口直至浏览器因死循环而死掉。可以编写一段程序对输入数据进行检查， 屏蔽掉 ＨＴＭＬ 和 ＪａｖａＳｃｒｉｐｔ 语句。

　（２） 对于每个试图访问被限制的 ＡＳＰ 内容的用户必须经过身份验证， 这是一个容易被忽视的安全问题。在需要验证的 ＡＳＰ 页面开头处进行判断， 跟踪上一个页面的文件名， 只有从上一页面转进来的会话才能读取这个页面。

２．３ ＦｉｌｅＳｙｓｔｅｍＯｂｊｅｃｔ 对象的危险性

　　ＦＳＯ 提供了非常便利的文本文件和文件目录的访问， 但是同时也对 ＩＩＳ Ｗｅｂ 服务器数据安全造成了一定的威胁。如果没有用到， 建议在服务器上禁用该组件。禁用方法有两种。

 （１） 把该组件从系统中注销掉方法是： ＲｅｇＳｒｖ３２／ｕ Ｃ：＼ＷＩＮＮＴ＼ＳＹＳＴＥＭ ３２＼ｓｃｒｒｕｎ．ｄｌｌ 注销以后， 任何人都不能在该服务器上使用该组件。

 （２）修改 Ｐｒｏｇｉｄ 的值

　　在 ＡＳＰ 里调用组件的方式通常是 Ｓｅｔ 对象名＝ Ｓｅｒｖｅｒ．ＣｒｅａｔｅＯｂｊｅｃｔ （＂Ｐｒｏｇｉｄ＂ ）， 这时候我们就可以通过修改注册表中的Ｐｒｏｇｉｄ 值达到禁用该组件的目的。在开始－ 运行中敲入 ｒｅｇｅｄｉｔ， 然后找到 ＨＫＥＹ－ ＣＬＡＳＳ－ ＲＯＯＴ＼Ｓｃｒｉｐｔｉｎｇ．ＦｉｌｅＳｙｓｔｅｍＯｂｊｅｃｔ， 这时候我们就可以更改该 Ｐｒｏｇｉｄ 的值了， 如改成 Ｓｃｒｉｐｔｉｎｇ．ＦｉｌｅＳｙｓｔｅｍＯｂｊｅｃｔ２。这样在 ＡＳＰ 页里就这样调用了：

 ＜％＠Ｌａｎｇｕａｇｅ＝ Ｖｂｓｃｒｉｐｔ％＞

 ＜ ％Ｓｅ ｔ  Ｆｓ ＝ Ｓｅｒｖｅｒ ＣｒｅａｔｅＯｂｊｅｃｔ （＂Ｓｃｒｉｐｔｉｎｇ．ＦｉｌｅＳｙ ｓｔｅｍＯｂｊｅｃｔ２＂ ） ％ ＞

　　这样修改以后， 系统管理员可以根据修改后的 ＰｒｏｇＩＤ 值来调用该组件， 而其他人由于不知道修改后的 ＰｒｏｄＩＤ 值， 所以就无法使用该组件了。

２．４ 数据库可能被解密

　　由于 Ａｃｃｅｓｓ 数据库的加密机制比较简单， 即使设置了密码，解密也很容易。该数据库系统通过将用户输入的密码与某一固定密解 （ 例如： Ａｃｃｅｓｓ９７ 为 ８６ ＦＢ ＥＣ ３７ ５Ｄ ４４ ９Ｃ ＦＡ Ｃ６５Ｅ ２８ Ｅ６１３） 进行“异或”来形成一个加密串， 并将其存储在 ３．ｍｄｂ 文件从地址“＆Ｈ４２”开始的区域内。我们可以轻松地编制解密程序， 一个几十行的小程序就可以轻松地获得任何 Ａｃｃｅｓｓ 数据库的密码。因此， 只要数据库被下载， 其信息就没有任何安全性要言了。

　　 防止数据库被下载， 由于 Ａｃｃｅｓｓ 数据库加密机制过于简单，有效地防止数据库被下载， 就成了提高 ＡＳＰ＋Ａｃｃｅｓｓ 解决方案安全性的重中之重。以下两种方法简单、有效。

　（１）非常规命名法。为 Ａｃｃｅｓｓ 数据库文件起一个复杂的非常规名字， 并把它放在几个目录下。例如， 对于数据库， 我们不把它命名为“ｄａｔａ．ｍｄｂ”而是起个非常规的名字， 例如： ｘｋｊｏｐ３ｆ．ｍｄｂ， 再把它放在如．／ａｋｋｔ／ ｋｊ６１／ ａｃｄ／ａｖ５ 的几层目标下， 这样黑客想通过猜的方式得到 Ａｃｃｅｓｓ 数据库文件名就很难了。

　（２） 使用 ＯＤＢＣ 数据源。在 ＡＳＰ 程度设计中， 应尽量使用ＯＤＢＣ 数据源， 不要把数据库名写在程序中， 否则， 数据库名将随ＡＳＰ 源代码的失密而一同失密， 例如：

　ＢＰａｔｈ ＝ Ｓｅｒｖｅｒ． ＭａｐＰａｔｈ “．／ ａｋｋｔ／ ｋｊ６１／ ａｃｄ／ａｖ５／ ｘｋｊｏｐ３ｆ.ｍｄｂ”）

　Ｃｏｎｎ．ｏｐｅｎ“ｄｒｉｖｅｒ ＝ ｛Ｍｉｃｒｏｓｏｆｔ Ａｃｃｅｓｓ Ｄｒｉｖｅｒ（ ３．ｍｄｂ） ｝；ｄｂｑ ＝ ”＆ＤＢＰａｔｈ

　可见， 即使数据库名字起得再怪异， 隐藏的目录再深， ＡＳＰ 源代码失密后， 也很容易被下载下来。如果使用 ＯＤＢＣ 数据源， 就不会存在这样的问题了： ｃｏｎｎ．ｏｐｅｎ“ＯＤＢＣ－ ＤＳＮ 名”。

２．５ 基于 ＳＱＬ 语句的客户资格认证漏洞

　　许多网站通过客户资格认证系统， 达到加密内部网页的目的。然而，“ａ ＇ ｏｒ＇ １＇ ＝１”成为攻破该类认证系统的万能密码。类似的密码还可以有无数个。原因出在 ＡＳＰ 程序的漏洞上。因为资格认证网页通常采用以用户输入的密码为条件， 判断注册用户数据库是否有该用户记录， 如果有， 则说明该用户为合法用户， 允许通过。反之， 继续要求输入正确的用户名和密码。假设 ｐｗｄｄｂ 是数据表名， ｉｄ 和 ｐｗｄ 是用户名和密码字段。则按条件查找记录的Ｓｑｌ 语句为： ｓｑｌ＝＂ｓｅｌｅｃｔ ＊ ｆｒｏｍ ｐｗｄｄｂ ｗｈｅｒｅ ｉｄ＝＇ ＂＆ｉｄ＆＂ ＇ ａｎｄｐｗｄ＝＇ ＂＆ｐｗｄ ＆＇ ＂此时， 用户只要根据 ｓｑｌ 构造一个特殊的用户名和密码， 如： ａｂｃ＇ ｏｒ ＇ １＇ ＝＇ １ 。就可以成功登录。将程序和用户数据合起来将变成： ｓｑｌ＝＂ｓｅｌｅｃｔ ＊ ｆｒｏｍ ｐｗｄｄｂ ｗｈｅｒｅ ｉｄ ＝ ＂＆ａ＇ｏｒ ＇ １＇ ＝１＆＂ａｎｄｐｗｄ＝＂＆ｐｗｄ＆＂由于有 ｏｒ 运算符和“１＝１”恒成立条件， 数据库的所有记录都满足此条件， 因而执行了此 ＳＱＬ 语句后， 将会得出用户数据库有记录的错误结果。解决方法是对输入的内容验证是否含有空格和“＇ ”。如果有， 就判断为非法， 继续要求输入密码。

３ 结束语

　　ＡＳＰ是网站开发应用的一种快速工具， 但是我们不能忽视了ＡＳＰ 的安全问题。本文仅列举了一些比较典型的安全问题， 要想做到网站的真正安全， 还需要我们不断的努力和实践。

  参考文献：

 ［１］张文增，孙振国，陈强，等．基于 ＡＳＰ 和 Ｗｅｂ 数据库技术的服务器应用程序开发方案［Ｊ］．计算机工程，２００１，２７（５）：７８－ ８０．

 ［２］潘示诒，袁新宇．用 ＩＩＳ 和 ＡＳＰ 技术构造 Ｗｅｂ 站点的安全措施［Ｊ］．武汉科技大学学报，２０００，２３（３）：３０４－ ３０５．

 ［３］阳威特．Ｗｅｂ 应用程序的安全维护［Ｊ］．微型机与应用，２０００（６）．

本站搜索： ASP IIS 网络安全
[在Google上搜索相关文章] [在百度上搜索相关文章]

【郑重声明】 本站所有文章除注有来源网址外均为互联网首发，按照创造共用方式授权,允许相关网站转载，但必须标明作者名称并在明显位置作好原文网址链接(复制以上链接)，且不能运用于任何商业目的。
——建筑知识引擎小组