基于ASP網站開發的安全隱患與預防策略

摘要:ASP因其快速強大的開發能力而被廣泛應用于網站開發中，通過對其工作原理的分析，從ASP頁面設計、數據庫及Web服務器等方面闡述了基于ASP網站開發的安全隱患，并提出相應的預防策略。

關鍵詞:ASP;網站開發;安全隱患;預防策略

中圖分類號:TP393文獻標識碼:A文章編號:1009-3044(2009)32-8910-03

Security Risks and Prevention Strategies of Website Development Based on ASP

LIU Jie

(Suqian College， Suqian 223800， China)

Abstract: ASP has a wide range of website development use because of its quick strong development capability， by analyzing its working theory， expatiate the security risks of website development based on ASP from ASP page design，database and Web server ，etc. and recommends the prevention strategies.

Key words: ASP; Website development; security risks; prevention strategies

在眾多的網站開發技術中，ASP以其學習簡單、使用方便、存取數據方便、執行效率高而被廣泛應用于網上銀行、電子商務、BBS、網上查詢與調查、搜索引擎等各種網絡應用中。然而ASP在為我們網站開發帶來便捷的同時，也帶來了不容忽視的安全問題。

1 ASP工作原理

1) 用戶在瀏覽器中鍵入ASP文件地址，然后回車完成ASP的申請。

2) 瀏覽器將ASP的請求發送到給Web服務器。

3) Web服務器接收申請并根據.ASP的后綴名判斷這是ASP要求，然后從硬盤或內存中讀取正確的ASP文件并將這個文件發送到ASP.DLL的特定文件中。

4) ASP文件將會從頭至尾執行并根據命令要求生成相應的HTML文件。

5) HTML文件被送回瀏覽器，用戶的瀏覽器解釋這些HTML文件并將結果顯示出來。

2 ASP在網站開發中的安全隱患與預防策略

2.1 后臺管理頁面驗證被繞過

在程序開發過程中，后臺管理頁面是對內部人員或者網站管理人員開放的。例如現在多數管理信息系統都帶有留言板模塊，普通的用戶只能發表和查看留言，只有管理員才能刪除或修改一些留言，所以管理員在進入這些頁面，都要經過一個身份驗證，沒有合法身份的用戶是不得進入的。但對于安全性不強的系統，如果用戶在知道相關頁面路徑的情況下，直接在地址欄中輸人后臺管理頁面的地址就可以進人頁面，那樣的話，用戶驗證就只成了擺設。

預防策略:

為了避免這類情況發生，可以讓后臺管理頁面跟蹤上一個頁面的文件名(一般是后臺登錄頁面)，只有從上一頁面轉進來的會話才能讀取這個頁面，這樣就把后臺登錄頁面與后臺管理頁面進行了綁定，只有通過了后臺登錄頁面的合法身份驗證的用戶才能進入后臺管理頁面，其他方式的進入一概是不允許的。程序員在編程時能考慮到這點的話，入侵者就無法繞過用戶驗證了。

2.2 inc文件泄露問題

inc文件顧名思義是include file的意思，在網站設計時我們經常喜歡把一些常用的代碼或配置信息，寫在一個inc的文件中，這樣可以減少很多重復的工作。可是這里面也有個安全隱患問題，例如當ASP主頁正在制作且沒有進行最后調試完成以前，可以被某些搜索引擎機動追加為搜索對象。如果這時候有人利用搜索引擎對這些網頁進行查找，會得到有關文件的定位，并能在瀏覽器中查看到數據庫地址和結構的細節，并以此揭示完整的源代碼，如果你在inc文件寫了重要的信息如用戶密碼之類的，那后果是不堪設想的。

預防策略:

1) 程序員應該在網頁發布前對它進行徹底的調試。

2) 對inc文件進行配置，避免用戶直接獲取源文件。

3) 對inc文件內容進行加密，也可以使用ASP文件代替inc文件，使用戶無法從瀏覽器直接觀看文件的源代碼，而且inc文件的文件名不要使用系統默認的或者有特殊含義容易被用戶猜測到的名稱，盡量使用無規則的英文字母。

2.3 Access數據庫可能被下載

在使用Access做后臺數據庫時， 如果有人通過各種方法知道或者猜到了服務器中的Access數據庫的路徑和數據庫名稱， 則該數據庫就可以被下載到本地。例如，數據庫文件school.mdb存放在虛擬目錄database下，在瀏覽器地址欄鍵入:http://serverurl/database/school.mdb，就可以下載此數據庫文件了，如果數據庫文件沒有加密的話，所有數據都會泄露。

預防策略:

1) 非常規命名法。為Access 數據庫文件起個復雜的非常規的名字，并把它放在多層目錄下。例如，對保存學校信息的school.mdb數據庫文件可以起個非常規的名稱，比如aiolia2009abc.mdb，并把它存放在如sqc/welcome/you/的幾層目錄下。也可以將Access數據庫的文件*.mdb 改名為*.asp，這樣不會影響程序對數據庫的正常訪問，但當瀏覽者試圖下載這些*.asp 文件時，瀏覽者將會碰到訪問錯誤，數據庫在瀏覽器以亂碼顯示。

2) 使用ODBC 數據。在ASP 程序設計中，應盡量使用ODBC 數據源，不要把數據庫名直接寫在程序中，否則，數據庫名將隨ASP 源代碼的泄露而一同失密。例如:datapath=server.mappath(\"sqc/welcome/you/aiolia2009abc.mdb\")

conn.open\"driver={Microsoft access driver (*.mdb)};dbq=\"datapath

可見，就算數據庫名字再復雜，隱藏的目錄再深，一旦ASP源代碼失密后，數據庫也很容易被下載。如果使用ODBC 數據源，即使失密，得到的也只是數據源的名字，例如:conn.open“ODBC-DSN 名”。

3) 對數據庫文件進行加密。Office自帶了文件加密功能，可以對Access文件進行加密，這樣即使他人得到了數據庫文件，沒有密碼也是無法看到數據庫中的內容的。

4) 對敏感數據進行加密。由于Access 數據庫文件的加密機制非常簡單，即使數據庫設置了密碼，解密也很容易，例如使用暴力破解或第三方軟件就可以輕松解密而得到密碼。所以較好的對策是對敏感數據進行加密，如使用RSA或MD5加密算法。

2.4 SQL注入攻擊

所謂SQL 注入， 就是利用某些Web 應用程序對用戶輸入數據的合法性檢測不嚴或不檢測的特點， 故意從客戶端提交一段特殊的數據庫查詢代碼， 根據程序返回的結果， 達到收集程序、數據庫及服務器的信息， 獲取想得到而通過正常途徑無法得到的資料， 使整個網站服務器失控甚至對網站進行破壞性攻擊的目的。例如，SQL語句進行用戶密碼驗證時通常是通過一個類似下面這樣的語句來實現的:SQL=\"Select * from 表 where username='\"+name+\"' and userpassword='\"+password+\"'\"，上述語句來驗證用戶信息是合法有效的， 但存在安全隱患，此時用戶只需要提交一個已知的的用戶名，就可以用該用戶身份登錄，比如用戶輸入如下參數:

username:admin

userpassword: 'or'1'='1

此時SQL 語句就變成SQL=\"Select * from表where username ='admin' and userpassword='or'1'='1\"，這樣在上面的語句中1=1 永遠為真，意味著能通過密碼驗證，顯然是不安全的。

預防策略:

1) 更改驗證代碼，只有在用戶名和密碼同時輸入正確時才能通過驗證，并且先查詢用戶名，再進行密碼驗證。

2) 對輸入的特殊字符，如單引號、雙引號、分號、逗號、冒號、連接號等進行轉換或者過濾，同時也應對輸入的字符長度進行限制。

3) 對IIS進行安全設置。如把IIS 設置成不管出什么樣的ASP錯誤， 只給出一種錯誤提示信息，即http 500 錯誤，這樣他人就無法入侵了。同時，要設置好在IIS 中的每個網站執行權限。

4) 對用戶輸入數據進行加密。如對用戶名進行MD5加密，鑒于MD5加密算法的破解，可以在加密的基礎上增加一些非常規的方式，即在MD5加密的基礎上附帶一些值，如密文=md5(md5(輸入的數據)+附帶值)，這樣會更安全。

2.5 Asp木馬漏洞

如今基于ASP 技術的木馬后門越來越多，功能也越來越強大。由于ASP本身是服務器提供的一種服務功能，所以這種ASP 腳本的木馬后門，不會被殺毒軟件查殺，被黑客們稱為“永遠不會被查殺的后門”。由于其高度的隱蔽性和難查殺性，對網站的安全造成了嚴重的威脅。

預防策略:

1) 升級網站程序到最新版本。許多Asp木馬程序都是通過發現網站程序中的漏洞而將ASP 木馬程序植入的，因此要及時關注并更新所使用的網站程序。

2) 通過ftp來上傳、維護網頁，盡量不安裝ASP 的上傳程序。目前幾乎全部的ASP木馬都是在取得系統權限后用FSO組件上傳到服務器上面去的，因此，為防止這個問題的出現我們最好不要安裝有ASP上傳的程序，如果要上傳文件也最好用FTP來實現，可以有效地防范ASP木馬文件。

3) 盡量不安裝插件。在網站設計時，如果沒有特別的需要，盡量避免安裝第三方插件，如果安裝了一定要設置好權限并有相應的安全措施。

4) 限制上傳文件類型。只允許用戶上傳特定的文件類型，限制好文件類型，特別不要讓ASP，ASA等擴展名的文件上傳上來，然后對文件的文件頭進行檢查，發現有ASP木馬特征的就限制上傳。

5) 查找IIS映射文件。IIS映射中的大部分文件對于只運行Asp的站點來說是無用的，因此可以根據具體需要將以*.cer，*.cdx，*.asa， *.htr， *.idc， *. shtm， *shtml，*.stm，*.p rinter等為擴展名的文件刪除，防止入侵者利用IIS漏洞而植入asp木馬。

6) 及時備份數據。經常備份數據庫、網頁等重要文件，一旦被木馬破壞，能及時還原，減少損失。

2.6 Web服務器端的安全

從Web服務器角度來說，ASP與普通HTML頁面有著本質的區別。HTML頁面是Web服務器不經過任何處理就發送給客戶端，而ASP中所有的命令均需被解釋執行。因此，Web服務器的不安全將導致ASP程序受到未授權的訪問和篡改。

預防策略:

1) 目錄及文件的保護。①通過設定目錄和文件的訪問權限，禁止用戶對目錄文件進行某些操作的權限。②設置虛擬目錄。IIS支持虛擬目錄，虛擬目錄隱藏了有關站點目錄的重要信息，建議在設置Web站點時，將HTML文件同ASP文件分開放置在不同的目錄下，然后將HTML子目錄設置為“讀”，將ASP子目錄設置為“執行”，這不僅方便了對Web 的管理，而且最重要的提高了ASP程序的安全性，防止了程序內容被客戶所訪問。③防止查看ASP 文件。IIS自帶的Code.ASP 或Showcode.ASP 文件，可以查看ASP 程序的源代碼，從而竊取相關的信息，可以在Web 服務器端刪除該文件或者禁止訪問存放該文件的目錄。

2) 限制訪問技術。如限制IP地址，設置用戶訪問控制和添加防火墻技術。

3) 審核與監視技術。通過安全日志，系統日志和應用程序日志審核與監視用戶自登錄開始直到退出的整個操作過程，可以為網絡安全分析提供可靠的依據。

4) SSL安全機制。建立了SSL安全機制后，只有SSL允許的客戶才能與SSL允許的Web 站點進行通信，并且在使用URL資源定位器時，輸入https://，而不是http://。

3 結束語

該文對基于ASP網站開發的安全隱患進行了分析總結，即分別從ASP頁面設計、數據庫及Web服務器等方面進行了分析并提出了預防策略。安全問題已成為ASP快速發展與應用的瓶頸，因此只有在設計過程中足夠重視并加強預防，才能提高網站的安全性。

參考文獻:

[1] 王秋祎.讓ASP技術更加安全[J].電腦知識與技術，2009，5(15):3909-3910.

[2] 周軍.ASP網站系統安全技術研究[J].計算機應用與軟件，2007，5:190-191.

[3] 舒清錄，廖明梅.基于ASP的Access數據庫安全隱患及預防策略[J].軟件導刊，2009，8(6):148-149.

[4] 陳小兵，于濱.Asp木馬漏洞安全防范策略[J].河北理工學院學報，2006，28(1):66-67.

[5] 胡波.基于ASP的安全技術研究[J].長春理工大學學報:高教版，2009，4(1):125.

[6] 逍遙.網站入侵與腳本攻防修煉[M].北京:電子工業出版社，2008.