网页脚本攻击防范全攻略(一)

转载 2006年05月27日 10:39:00
近来,网络上的SQL Injection 漏洞利用攻击,JS脚本,HTML脚本攻击似乎逾演逾烈。陆续的很多站点都被此类攻击所困扰,并非像主机漏洞那样可以当即修复,来自于WEB的攻击方式使我们在防范或者是修复上都带来了很大的不便。HOOO…… 一个站长最大的痛苦莫过于此。自己的密码如何如何强壮却始终被攻击者得到,但如何才能做到真正意义上的安全呢?第一,别把密码和你的生活联系起来;第二,Supermaster的PWD最好只有你自己知道;第三,绝对要完善好你的网站程序。然而怎样才能完善,这将是我们此文的最终目的。

  安全防护,如何做到安全防护?想要防护就要知道对方是如何进行攻击。有很多文章都在写如何攻下某站点,其实其攻击的途径也不过是以下几种:

  1. 简单的脚本攻击

  此类攻击应该属于无聊捣乱吧。比如****:alert(); </table>等等,由于程序上过滤的不严密,使攻击者既得不到什么可用的,但又使的他可以进行捣乱的目的。以目前很多站点的免费服务,或者是自身站点的程序上也是有过滤不严密的问题。

  2. 危险的脚本攻击

  这类脚本攻击已经过度到可以窃取管理员或者是其他用户信息的程度上了。比如大家都知道的cookies窃取,利用脚本对客户端进行本地的写操作等等。

  3. Sql Injection 漏洞攻击

  可以说,这个攻击方式是从动网论坛和BBSXP开始的。利用SQL特殊字符过滤的不严密,而对数据库进行跨表查询的攻击。比如:

  http://127.0.0.1/forum/showuser.asp?id=999 and 1=1

  http://127.0.0.1/forum/showuser.asp?id=999 and 1=2

  http://127.0.0.1/forum/showuser.asp?id=999 and 0<>(select count(*) from admin)

  http://127.0.0.1/forum/showuser.asp?id=999’; declare @a sysname set @a='xp_'+ 'cmdshell' exec @a 'dir c:/'---&aid=9

  得到了管理员的密码也就意味着已经控制的整站,虽然不一定能得到主机的权限,但也为这一步做了很大的铺垫。类似的SQL Injection攻击的方式方法很多,对不同的文件过滤不严密所采取的查询方式也不同。所以说想做好一个完整的字符过滤程序不下一凡功夫是不可能的。

  4. 远程注入攻击

  某站点的所谓的过滤只是在提交表格页上进行简单的JS过滤。对于一般的用户来说,你大可不必防范;对早有预谋的攻击者来说,这样的过滤似乎根本没作用。我们常说的POST攻击就是其中一例。通过远程提交非法的信息以达到攻击目的。

  通过上面的攻击方法的介绍,我们大致的了解了攻击者的攻击途径,下面我们就开始重点的介绍,如何有效的防范脚本攻击!

  让我们还是从最简单的开始:

  l 防范脚本攻击

  JS脚本 和HTML脚本攻击的防范其实很简单:server.HTMLEncode(Str)完事。当然你还不要大叫,怎么可能?你让我把全站类似<%=uid%>都加过滤我还不累死?为了方便的过滤,我们只需要将HTML脚本和JS脚本中的几个关键字符过滤掉就可以了:程序体(1)如下:

  ‘以下是过滤函数

  <%

  function CHK(fqyString)

  fqyString = replace(fqyString, ">", ">")

  fqyString = replace(fqyString, "<", "<")

  fqyString = replace(fqyString, "&#", "&")

  fqyString = Replace(fqyString, CHR(32), " ")

  fqyString = Replace(fqyString, CHR(9), " ")

  fqyString = Replace(fqyString, CHR(34), """)

  fqyString = Replace(fqyString, CHR(39), "'")

  fqyString = Replace(fqyString, CHR(13), "")

  fqyString = Replace(fqyString, CHR(10) & CHR(10), "</P><P> ")

  fqyString = Replace(fqyString, CHR(10), "<BR> ")

  CHK = fqyString

  end function

  %>

  ‘以下是应用实例

  <%=CHK(Username)%>

  Username=CHK(replace(request(“username”),”’”,””))

  使用Include把函数写在公有页面上,这样效率是最好的。


相关文章推荐

可以讓你少奮斗10年的工作經驗

第一:不要认为停留在心灵的舒适区域内是可以原谅的。  每个人都有一个舒适区域,在这个区域内是很自我的,不愿意被打扰,不愿意被push,不愿意和陌生的面孔交谈,不愿意被人指责,不愿意按照规定的时限做事,...

IT公司机试常考的一道题--将任意字符串逆序输出或者输出所有排列

这道题是近几年来各大IT公司招程序员时机试很容易考的一道题,逆序输出很简单,会写程序的人都会。但是输出一段字符串的所有排序情况却不是所有人一时半会能写出来的,结合网友的代码,我整合了一下。代码如下:-...

Django模板系统(非常详细)

转载:http://www.czug.org/python/django/04.html 翻译www.djangobook.com之第四章:Django模板系统 The Django...

win32 dll 和MFC dll的区别

Win32 dll不能使用MFC的类库, 也就是不能使用MFC所提供的功能   MFC DLL又分2种 1. 标准MFC DLL 可以使用MFC类库 但是不能输出类  2. 扩展MFC DLL 可以输...

你需要知道的NoSQL数据库10件事

关系数据模型已经流行了几十年了,但是一种新型的数据库(即NoSQL)正在吸引各大企业的关注。下面是对其优势与劣势的一个简单总结。在过去的1/4世纪中,关系型数据库(RDBMS)一直是数据库管理系统的主...

百分号编码(URL编码)

一. 百分号编码(URL编码) 使用这种编码的目的是为了传输, 类似UTF8的用途. 百分号编码中分为保留字符和非保留字符, 很明显, 所谓的保留字符就是有其特殊用途的, 编码时需要转换的; 非保留...
  • cay22
  • cay22
  • 2015-01-06 10:11
  • 1466

CSDN blog怎么能这样?

今天才在CSDN开通blog,想把别的原来在别的地方写的东西copy过来,可是这里的编辑器却不能用右键,也用不了Ctrl + v,真是郁闷!!!!!!!!难道我要重新敲一遍?
  • ayi30
  • ayi30
  • 2006-05-04 03:30
  • 529
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:深度学习:神经网络中的前向传播和反向传播算法推导
举报原因:
原因补充:

(最多只允许输入30个字)