基于asp网站数据库的安全漏洞及防护措施探讨

《基于asp网站数据库的安全漏洞及防护措施探讨》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于ASP网站数据库的安全漏洞及防护措施探讨摘要：ASP网站数据库具有执行效率高、数据存取方便、开发速度快等特点，受到广大程序编程人员的青睐。而ASP网站数据库的运行环境非常复杂，导致出现各种安全问题和漏洞，结合ASP网站数据库运行原理，采取科学、有效、安全防护措施，全面消除ASP网站数据库安全漏洞，提高ASP网站数据库的安全性。本文分析了ASP网站数据库的安全漏洞，阐述了相关安全防护措施。关键词：ASP网站数据库；安全漏洞；防护措施近年来，我国ASP.net技术快速发展，为数据库程序开发提供了重要平台，并且有效提高了ASP网站数据库编程效率和开发质量。但是ASP网站数据库在实际

2、应用中暴露出很多漏洞，给网络黑客攻击ASP网站数据库提供了便利，使得数据库中的关键数据信息面临严重威胁，给国家、社会和人民造成巨大损失。所以必须高度重视ASP网站数据库的安全漏洞，有针对性地进行安全防护，有效加强ASP网站数据库的安全防范。1ASP网站数据库的安全漏洞1.1SQL注入攻击SQL注入攻击主要是向ASP网站数据库客户端提交相关程序代码，采集服务器和程序信息，对数据库进行恶意攻击。ASP网站数据库建设过程中，应用ASP+SQL技术时，编程人员在开发ASP网站数据库时，程序代码存在漏洞，程序编写不规范，SQL命令动态生成时，没有科学验证用户输入数据，网络黑客通过编写某些特

3、殊查询语句，就可以从ASP网站数据库中获取相关数据表。例如，查询语句是select*fromadminwhereuser='"&user&'"andpass-"&pwd&',若网络黑客利用user-name=”李明norT=l，查询语句会变为Select*fromadmin-whereuser='李明'or'r='l'andpass="&pwd&"0这样的查询语句不需要密码也可以进入ASP网站数据库获取重要数据信息，严重威胁ASP网站数据库的安全性。1.2Access数据库被下载基于ASP+Access技术，在开发设计网站时，往往以文件形式保存Access数据库，一旦一些文件被网

4、络黑客下载，会造成Access数据库中的数据信息泄漏，并且Access数据库加密流程非常简单，所以Access数据文件的安全性不足。若网络黑客利用数据库的存储文件名和存储路径，很容易就可以将Access数据库下载到本地，严重威胁了数据信息的安全性。例如，通常情况下，数据库默认的存储路径主要存放在根目录”URL/n或者nURL/databasen下，若网络黑客利用"URL/store.mdb(store.mdb为数据库文件名)或者"URL/database/store.mdb",Access数据库可以直接下载下来。2ASP网站数据库的安全防护措施2.1SQL注入攻击防护编程人员在开

5、发ASP网站数据库时，必须规范程序编写，将select*fromadminwhereuser="'&user&'"andpass-"&pwd&',改成：Select*fromadminwhereusername="'&user&'",ifnot(rs.BOForrs.eof)thenifpassword=rs("passwd")then,这样使得ASP网站数据库运行过程中，必须输入正确的用户和密码，才能通过验证进入ASP网站数据库。同时，通过规范编写程序代码，能够有效避免ASP网站数据库受到网络黑客的恶意攻击，从而保障数据安全。在IIS系统中进行安全设置，针对ASP错误，只能发出

6、一种错误提示信息。另外，安装SQLServer软件系统时，某些范例数据库会自动安装，例如，nNorth-wind”、"pub”等，但是由于这些范例数据库中包含一些公开的表结构，很容易被网络黑客利用，所以编程人员应将这些公开数据库表及时进行删除。1.2Access数据库安全防护(1)数据库文件加密在Access数据文件中选取kjO8af.mdb，转存为kjO8afl.mdb，合理编写数据库文件，从而防止网络黑客利用其它工具来调取数据库文件。同时，对数据库进行加密，打开kjO8afl.mdb，在功能表中设置合理的数据库密码，然后输入密码，若无密码则获取获取数据库文件内容。(2)非常规

7、命名法为了保障ASP网站数据库的安全性，在几层目录下存放Access数据库文件，而且进行非常规命名法。例如，ASP网站数据库，其命名为kjO8af.mdb，将其存放在…/kjgl/abl9/rgh26/目录下，将M#n放置在数据库文件名之前，对数据库连接文件进行修改数据库地址。这主要是各种ASP网站运行下载过程中，只能对#号前面的内容和地址进行有效识别，例如，Flashget或者IE浏览器下载http://192.168.0.100/date/#kj08af.mdb时，实际下载的