ASP”(Active Server Pages)作為一種典型的服務(wù)器端網(wǎng)頁設(shè)計技術(shù),被廣泛地應(yīng)用在網(wǎng)上銀行、電子商務(wù)、搜索引擎等各種互聯(lián)網(wǎng)應(yīng)用中。同時Access數(shù)據(jù)庫作為微軟推出的以標準JET為引擎的桌面型數(shù)據(jù)庫系統(tǒng),由于具有操作簡單、界面友好等特點,具有較大的用戶群體。
因此ASP+Access成為許多中小型網(wǎng)上應(yīng)用系統(tǒng)的首選方案。但ASP+Access解決方案在為我們帶來便捷的同時,也帶來了不容忽視的安全問題。
ASP+Access的安全隱患ASP+Access解決方案的主要安全隱患來自Access數(shù)據(jù)庫的安全性,其次在于ASP網(wǎng)頁設(shè)計過程中的安全漏洞。
1.Access數(shù)據(jù)庫的存儲隱患
在ASP+Access應(yīng)用系統(tǒng)中,如果獲得或者猜到Access數(shù)據(jù)庫的存儲路徑和數(shù)據(jù)庫名,則該數(shù)據(jù)庫就可以被下載到本地。例如:對于網(wǎng)上書店的Access數(shù)據(jù)庫,人們一般命名為book.mdb、store.mdb等,而存儲的路徑一般為“URL/database”或干脆放在根目錄(“URL/”)下。這樣,只要在瀏覽器地址欄中敲入地址:“URL/database/store.mdb”,就可以輕易地把store.mdb下載到本地的機器中。
2.Access數(shù)據(jù)庫的解密隱患
由于Access數(shù)據(jù)庫的加密機制非常簡單,所以即使數(shù)據(jù)庫設(shè)置了密碼,解密也很容易。該數(shù)據(jù)庫系統(tǒng)通過將用戶輸入的密碼與某一固定密鑰進行異或來形成一個加密串,并將其存儲在*.mdb文件中從地址“&H42”開始的區(qū)域內(nèi)。由于異或操作的特點是“經(jīng)過兩次異或就恢復(fù)原值”,因此,用這一密鑰與*.mdb文件中的加密串進行第二次異或操作,就可以輕松地得到Access數(shù)據(jù)庫的密碼?;谶@種原理,可以很容易地編制出解密程序。 由此可見,無論是否設(shè)置了數(shù)據(jù)庫密碼,只要數(shù)據(jù)庫被下載,其信息就沒有任何安全性可言了。
3.源代碼的安全隱患
由于ASP程序采用的是非編譯性語言,這大大降低了程序源代碼的安全性。任何人只要進入站點,就可以獲得源代碼,從而造成ASP應(yīng)用程序源代碼的泄露。
4.程序設(shè)計中的安全隱患
aSP代碼利用表單(form)實現(xiàn)與用戶交互的功能,而相應(yīng)的內(nèi)容會反映在瀏覽器的地址欄中,如果不采用適當?shù)陌踩胧?,只要記下這些內(nèi)容,就可以繞過驗證直接進入某一頁面。例如在瀏覽器中敲入“……page.asp?x=1”,即可不經(jīng)過表單頁面直接進入滿足“x=1”條件的頁面。因此,在設(shè)計驗證或注冊頁面時,必須采取特殊措施來避免此類問題的發(fā)生。 提高數(shù)據(jù)庫的安全性由于Access數(shù)據(jù)庫加密機制過于簡單,因此,如何有效地防止Access數(shù)據(jù)庫被下載,就成了提高ASP+Access解決方案安全性的重中之重。
1.非常規(guī)命名法
防止數(shù)據(jù)庫被找到的簡便方法是為Access數(shù)據(jù)庫文件起一個復(fù)雜的非常規(guī)名字,并把它存放在多層目錄下。例如,對于網(wǎng)上書店的數(shù)據(jù)庫文件,不要簡單地命名為“book.mdb”“store.mdb”,而是要起個非常規(guī)的名字,例如:faq19jhsvzbal.mdb,再把它放如./akkjj16t/kjhgb661/acd/avccx55 之類的深層目錄下。這樣,對于一些通過猜的方式得到Access數(shù)據(jù)庫文件名的非法訪問方法起到了有效的阻止作用。
2.使用ODBC數(shù)據(jù)源
在ASP程序設(shè)計中,應(yīng)盡量使用ODBC數(shù)據(jù)源,不要把數(shù)據(jù)庫名直接寫在程序中,否則,數(shù)據(jù)庫名將隨ASP源代碼的失密而一同失密。即使數(shù)據(jù)庫名字起得再怪異,隱藏的目錄再深,ASP源代碼失密后,數(shù)據(jù)庫也很容易被下載下來。如果使用ODBC數(shù)據(jù)源,就不會存在這樣的問題了: conn.open “ODBC-DSN名”
對ASP網(wǎng)站建設(shè)頁面進行加密為有效地防止ASP網(wǎng)站建設(shè)源代碼泄露,可以對ASP頁面進行加密。一般有兩種方法對ASP頁面進行加密。一種是使用組件技術(shù)將編程邏輯封裝入DLL之中;另一種是使用微軟的Script Encoder對ASP頁面進行加密。筆者認為,使用組件技術(shù)存在的主要問題是每段代碼均需組件化,操作比較煩瑣,工作量較大;而使用Script Encoder對ASP頁面進行加密,操作簡單、收效良好。
猜你喜歡
聯(lián)絡(luò)方式:
電話:181-0734-0881
郵箱:1713521713@qq.com
-
商家揭秘:讓你剁手的19個“潛規(guī)則”
很早之前就有一個說法,淘寶是女人的天下,京東是男人的天下,但目前崛起的很多電子商務(wù)網(wǎng)站,如聚美優(yōu)品、蘑菇街、唯品會卻更針對的是女性群體。有的人覺得女性購物好做,有的人覺得...
-
域名知多少,淺析域名
一、域名的含義域名是Internet網(wǎng)絡(luò)上的一個服務(wù)器或一個網(wǎng)絡(luò)系統(tǒng)的名字,在全世界,沒有重復(fù)的域名。域名的形式是以若干個英文字母和數(shù)字組成,由"."分隔成幾部分,如baidu.com就是...
-
網(wǎng)站如何選擇合適的關(guān)鍵詞
對于網(wǎng)站SEO,選好關(guān)鍵詞是搜索引擎營銷至關(guān)重要的一步,選對關(guān)鍵詞能讓網(wǎng)站權(quán)重快速提高,今天我就教大家如何選擇網(wǎng)站SEO關(guān)鍵詞。...
-
百度驚雷算法首推,快排行業(yè)將退出SEO江湖
近幾年,百度在保障用戶體驗提升內(nèi)容生態(tài)良性發(fā)展方面下了很多功夫,從打擊外鏈、采集、站群、頁面友好度等方面都經(jīng)過了多次的算法調(diào)整,例如:青藤算法、綠蘿算法、颶風(fēng)算法、清風(fēng)...
-
網(wǎng)站關(guān)鍵詞排名大量下滑到底有哪些因素
客觀原因:影響排名的因素很多,有主觀也有一些是人力無法控制的客觀原因,而我們常見的客觀原因包括二點:...