鸿 网 互 联 www.68idc.cn

当前位置 : 主页 > 网站安全 > >

如何防范ASP网站漏洞呢?

来源:互联网 作者:佚名 时间:2012-09-18 13:53
很多网站后台程序都使用ASP脚本语言,但是,ASP本身存在一些安全漏洞,如果程序做的不够谨慎,就给了黑客可乘之机。网站安全不仅仅是网站管理员的事情,程序员在编程的时候也应该注意安全细节。那么,防范ASP网站漏洞该注意哪些细节呢? 1、用户名与口令被破
很多网站后台程序都使用ASP脚本语言,但是,ASP本身存在一些安全漏洞,如果程序做的不够谨慎,就给了黑客可乘之机。  网站安全不仅仅是网站管理员的事情,程序员在编程的时候也应该注意安全细节。那么,防范ASP网站漏洞该注意哪些细节呢?
  1、用户名与口令被破解
  攻击原理:用户名与口令,往往是黑客们最感兴趣的东西,如果被通过某种方式看到源代码,后果是可想而知的。
  防范技巧:涉及用户名与口令的程序最好封装在服务器端,尽量少在ASP文件里出现,涉及与数据库连接的用户名与口令应给予最小的权限。出现次数多的用户名与口令可以写在一个位置比较隐蔽的包含文件中。如果涉及与数据库连接,在理想状态下只给它以执行存储过程的权限,千万不要直接给予该用户修改、插入、删除记录的权限。
  2、验证被绕过
  攻击原理:现在需要经过验证的ASP程序大多是在页面头部加一个判断语句,但这还不够,有可能被黑客绕过验证直接进入。
  防范技巧:需要经过验证的ASP页面,可跟踪上一个页面的文件名,只有从上一页面转进来的会话才能读取这个页面。
  3、Inc文件泄露问题
  攻击原理:当存在ASP的主页正在制作且没有进行最后调试完成以前,可以被某些搜索引擎机动追加为搜索对象。如果这时候有人利用搜索引擎对这些网页进行查找,会得到有关文件的定位,并能在浏览器中查看到数据库地点和结构的细节,并以此揭示完整的源代码。
  防范技巧:程序员应该在网页发布前对它进行彻底的调试;安全专家则需要加固ASP文件以便外部的用户不能看到它们。首先对。inc文件内容进行 加密,其次也可以使用。asp文件代替。inc文件使用户无法从浏览器直接观看文件的源代码。 Inc文件的文件名不要使用系统默认的或者有特殊含义容易被用户猜测到的名称,尽量使用无规则的英文字母。
  在选择服务器的时候也应有安全意识。如果是自己搭建网络环境,那么服务器的安全策略配置不可少,第三方防护软件应该安全齐全,并且能够及时升级到最新版本,还要部署基本的防火墙等安全设备;如果是租用服务器,那么就要选择好的空间服务商,千万不能为了省这点钱而让前期的投入付诸东流。
  网站上线之后要对网站进行监控,以便实时掌握网站状况,即使网站出了问题,网站管理员也能在第一时间收到告警信息,及时处理问题。网站监控的平台有很多,选择也很重要。针对于目前大形势下的网站安全现状,网站挂马、钓鱼攻击、DDOS攻击、网页篡改、网页添加敏感内容是黑客比较主流的一些攻击手段,那么我们选择的网站监控平台也应具备检测这些攻击的能力,在这方面有一些资金的投入也是值得的。
  既然网站有了监控,可以及时收到告警信息,那么完善的网站应急机制也不可缺少,了解到问题所在却不能第一时间处理,显然功亏一篑。

网友评论