Asp+access网站的安全问题及其防范

《Asp+access网站的安全问题及其防范》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、Asp+access网站的安全问题及其防范(新乡学院,河南新乡453003)摘要：Internet的发展要求动态、交互的网络技术MSP曲于技术简单被广泛用在动态网站制作中.在对ASP+access网站常见的安全问题分析的基础上，详细说明了ASP+access网站安全问题的防范，并给出了防御方案.关键词：ASP技术ACCESS网站安全securityproblemsandtheirpreventionofasp+accessChenXiaoqian(XinxianguniversityfXinxiang453003,China)AbstracThedeve

2、lopmentofInternetrequiresdynamicandinteractivenetworktechnologies.ASPtechnologyhasbeenwidelyusedintheproductionofdynamicwebsitesduetoitstechnicalsimplicity.OnthebasisofanalyzingcommonsecurityproblemsofASP+accesswebsites,thispapermakesadetaileddescriptiononASP+accesswebsitessecuri

3、typroblemsandgivesadefenseprogram.Keywords:aspTechnologyACCESSSiteSecurityAsp是微软公司开发的代替CG1脚本程序的一种应用程序，它可以与数据库和其它程序进行交互，是一种简单、方便的编程工具.Access数据库作为微软推出的以标准JET为引擎的桌面型数据库系统，曲于具有操作简单、界面友好等特点，具冇较人的用户群体⑴.目币j,ASP+Acccss是中小型Internet网站的首选方案.但是，该解决方案在为我们带来便捷的同时，也带來了严峻的安全问题•特别是近期随着微软一些安全漏洞的暴霜

4、，ASP与ACCESS数据库的不安全性，很多利用这些技术开发的网站与破解工具被黑客公布到网上，上网者可以很方便的下载它们，并利用他们攻击存在漏洞的ASP网站，轻则注入木马影响正常用户对网站的访问，重则破坏服务器上的数拯•针对这种情况，文章对asp+access网诂的一些安全问题进行了分析，并捉岀了应对这些安全问题的解决方法.1asp+access网站的常见安全问题1.1Access数据库的存储安全隐患在ASP+Access应用系统中，通过Access数据库的存储路径和数据库文件名称，则该数据库就可以被下载到本地•例如：对于新闻发布系统数据库，一般命名为n

5、ews.mdb,存储路径一般为“网址/data"或放在根目录“URL/”下,这样，在浏览器中输入地址："URL/data/news.mdb",就可以下载数据库.用户通过查询数据库中的数据表，就可以很轻易的获得网站的管理员用户名和密码，从而获得网诂的后台管理后台权限并控制整个网站.1.2Access数据库可能被解密由于Access数据库的加密机制非常简单，所以即使数据库设置了密码，解密也很容易•当数据库被下载后，该数据库系统通过将用户输入的密码与某一固定密钥进行异或来形成一个加密串，并将其存储在*・mdb文件屮从地址“&H42”开始的区域内.由于异或操作的

6、特点是“经过两次异或就恢复原值”，因此，用这一密钥与*・mdb文件中的加密串进行第二次异或操作，就可以轻松地得到Access数据库的密码.基于这种原理，可以很容易地编制出解密程序⑵.1.3ASP页面的安全性1.3.1源代码安全性隐患.出于ASP程序采用非编译性语言，大大降低了程序源代码的安全性.口前有很多整站下载的软件，很容易就能得到整站的源代码.1.3.2程序设计中容易被忽视的安全性问题.ASP代码主要使用表单实现交互，而相应的内容会反映在浏览器的地址栏中，如果不釆用适当的安全措施，只要记下这些内容,就可以绕过验证直接进入某一页面•例如在浏览器中敲入"

7、...oncws.asp?s=r即可不经过表单页面直接进入满足“s二1”条件的页面.因此，在验证或注册页面中，必须采取特殊措施来避免此类问题的产生.1.4SQL注入攻击SQL注入的原理，就是从客户端捉交特殊的代码，从而收集程序及服务器的信息，获取想得到的资料，在采用ASP+SQL技术建设的网站中，由于ASP程序员在编写程序时不规范，代码存在漏洞，动态生成Sql命令时没冇对用户输入的数据进行验证而受到攻击，黑客会利用特殊查询语句，得到更多的数据表数据，甚至数据表的全部数据，比如：查询诅•句是select*fromnewswherename='〃&name

8、&，z，andpass='〃&pwd&',那么，如果我的username是："张