ASP+Access的安全隐患及对策

原创 2004年08月07日 10:29:00

ASP+Access的安全隐患及对策
2001-8-18 动网先锋
随着Internet的发展,Web技术日新月异。继通用网关接口(CGI)之后,“ASP”(Active Server Pages)作为一种典型的服务器端网页设计技术,被广泛地应用在网上银行、电子商务、搜索引擎等各种互联网应用中。同时Access数据库作为微软推出的以标准JET为引擎的桌面型数据库系统,由于具有操作简单、界面友好等特点,具有较大的用户群体。因此ASP+Access成为许多中小型网上应用系统的首选方案。但ASP+Access解决方案在为我们带来便捷的同时,也带来了不容忽视的安全问题。
ASP+Access的安全隐患
ASP+Access解决方案的主要安全隐患来自Access数据库的安全性,其次在于ASP网页设计过程中的安全漏洞。
1.Access数据库的存储隐患
在ASP+Access应用系统中,如果获得或者猜到Access数据库的存储路径和数据库名,则该数据库就可以被下载到本地。例如:对于网上书店的Access数据库,人们一般命名为book.mdb、store.mdb等,而存储的路径一般为“URL/database”或干 脆放在根目录(“URL/”)下。这样,只要在浏览器地址栏中敲入地址:“URL/database/store.mdb”,就可以轻易地把 store.mdb下载到本地的机器中。
2.Access数据库的解密隐患
由于Access数据库的加密机制非常简单,所以即使数据库设置了密码,解密也很容易。该数据库系统通过将用户输入的密码与某一固定密钥进行异或来形成一个加密串,并将其存储在*.mdb文件中从地址“&H42”开始的区域内。由于异或操作 的特点是“经过两次异或就恢复原值”,因此,用这一密钥与*.mdb文件中的加密串进行第二次异或操作,就可以轻松地得到Access数据库的密码。基于这种原理,可以很容易地编制出解密程序。
由此可见,无论是否设置了数据库密码,只要数据库被下载,其信息就没有任何安全性可言了。
3.源代码的安全隐患
由于ASP程序采用的是非编译性语言,这大大降低了程序源代码的安全性。任何人只要进入站点,就可以获得源代码,从而 造成ASP应用程序源代码的泄露。
4.程序设计中的安全隐患  
ASP代码利用表单(form)实现与用户交互的功能,而相应的内容会反映在浏览器的地址栏中,如果不采用适当的安全措 施,只要记下这些内容,就可以绕过验证直接进入某一页面。例如在浏览器中敲入“……page.asp?x=1”,即可不经过表
单页面直接进入满足“x=1”条件的页面。因此,在设计验证或注册页面时,必须采取特殊措施来避免此类问题的发生。
提高数据库的安全性
由于Access数据库加密机制过于简单,因此,如何有效地防止Access数据库被下载,就成了提高ASP+Access解决方案安全 性的重中之重。
1.非常规命名法
防止数据库被找到的简便方法是为Access数据库文件起一个复杂的非常规名字,并把它存放在多层目录下。例如,对于网上书店的数据库文件,不要简单地命名为“book.mdb”或“store.mdb”,而是要起个非常规的名字,例如:
faq19jhsvzbal.mdb,再把它放在如./akkjj16t/kjhgb661/acd/avccx55 之类的深层目录下。这样,对于一些通过猜的方式得到Access数据库文件名的非法访问方法起到了有效的阻止作用。
2.使用ODBC数据源
在ASP程序设计中,应尽量使用ODBC数据源,不要把数据库名直接写在程序中,否则,数据库名将随ASP源代码的失密而一同失密。例如:
DBPath = Server.MapPath(“./akkjj16t/
kjhgb661/acd/avccx55/faq19jhsvzbal.mdb ”)
conn.Open “driver={Microsoft Access Driver (*.mdb)};dbq=” & DBPath
可见,即使数据库名字起得再怪异,隐藏的目录再深,ASP源代码失密后,数据库也很容易被下载下来。如果使用ODBC数据源,就不会存在这样的问题了:
conn.open “ODBC-DSN名”
对ASP页面进行加密
为有效地防止ASP源代码泄露,可以对ASP页面进行加密。一般有两种方法对ASP页面进行加密。一种是使用组件技术将编程逻辑封装入DLL之中;另一种是使用微软的Script Encoder对ASP页面进行加密。笔者认为,使用组件技术存在的主要问题
是每段代码均需组件化,操作比较烦琐,工作量较大;而使用Script Encoder对ASP页面进行加密,操作简单、收效良好。
Script Encoder方法具有许多优点:
1.HTML仍具有很好的可编辑性。Script Encoder只加密在HTML页面中嵌入的ASP代码,其他部分仍保持不变,这就使得我们仍然可以使用FrontPage或Dreamweaver等常用网页编辑工具对HTML部分进行修改、完善,只是不能对ASP加密部分进行修改,否则将导致文件失效。
2.操作简单。只要掌握几个命令行参数即可。Script Encoder的运行程序是screnc.exe,其使用方法如下:
screnc [/s] [/f] [/xl] [/l defLanguage ] [/e defExtension] inputfile outputfile
其中的参数含义如下:
s:屏蔽屏幕输出;
f:指定输出文件是否覆盖同名输入文件;
xl:是否在.asp文件的顶部添加@Language指令;
l:defLanguag指定缺省的脚本语言;
e:defExtension 指定待加密文件的扩展名。
3.可以批量加密文件。使用Script Encoder可以对当前目录中的所有的ASP 文件进行加密,并把加密后的文件统一输出到
相应的目录中。例如:
screnc *.asp c:/temp
4. Script Encoder是免费软件。该加密软件可以从微软网站下载:
http://msdn.microsoft.com/scripting/vbscript/download/x86/sce10en.exe。下载后,运行安装即可。
利用Session对象进行注册验证
为防止未经注册的用户绕过注册界面直接进入应用系统,可以采用Session对象进行注册验证。Session对象最大的优点是
可以把某用户的信息保留下来,让后续的网页读取。例如,要设计如图1所示的注册页面。

图1 注册页面
设计要求用户注册成功后系统启动hrmis.asp?page=1页面。如果不采用Session对象进行注册验证,则用户在浏览器中敲入 “URL/hrmis.asp?page=1”即可绕过注册界面,直接进入系统。利用Session对象可以有效阻止这一情况的发生。相关的程序代码如下:
<%
' 读取用户输入的账号和密码
UserID = Request(“UserID”)
Password = Request(“Password”)
' 检查UserID 及Password 是否正确(实际程序可能会比较复杂)
If UserID <>“hrmis” Or Password <>
“password” Then
Response.Write “账号错误!”
Response.End
End If
'将Session 对象设置为通过验证状态
Session(“Passed”) = True
%>
进入应用程序后,首先进行验证:
<%
'如果未通过验证,返回Login状态
If Not Session(“Passed”) Then
Response.Redirect “Login.asp”
End If
%>
我也说点我的经验.(或许是不对的,但是请不要用鸡蛋砸我,谢谢)
使用ODBC数据源比较麻烦,换了机器都得重新设置.倒不如将mdb文件放在非IIS目录下,如:C:/
这样就无法被下载了,hoho~

给mdb文件加密码基本上是无用的,网络上到处可以下载到破解accsee数据库密码的程序.
其实一般我们的数据库并不是里面所有的数据都必须保密.举个例子,例如一个论坛的数据库,需要保密的内容其实就只有用户的一些资料(如:密码,身份证码等)和用户间的"短信"等内容而已,其他的,例如用户的姓名,用户发的一些公开的帖子并不需要保密的.所以我们可以利用一些加密算法对需要保密的数据进行加密(如:使用SHA1算法给数据库密码加密)这样的话,就算数据库文件被别人得到,他也需要知道破解的方法才能得到想要的资料.

关于“敲入 “URL/hrmis.asp?page=1”即可绕过注册界面,直接进入系统。”其实对应的方法不只使用Session(个人比较不喜欢用Session,因为很多书都说使用Session会占用很多系统资源),我们可以使用Cookie机制来达到类似文中提到的用Session实现的方法,或者我们可以在URL/hrmis.asp页中用判断 Request.ServerVariable("HTTP_REFERER" 是否存在,其中的值是什么,来确定是哪个页面把内容提交过来的。

Wifi、Zigbee的对比及安全机制

wifi,zigbee在物联网的大环境下作为传输协议有着广泛使用。本文章详细对比了wifi,zigbee的优缺点和适用场景,并深入分析了这两种协议在链路层的安全机制,如CBC-MAC。...
  • pengkunlun_hit
  • pengkunlun_hit
  • 2016年08月11日 00:02
  • 1879

RFID系统安全隐患解决方案优缺点的分析

随着物联网的发展,“无所不在”的通信理念正在日益成为现实。受此影响,作为泛在通信核心技术—— RFID,有了长足发展,如今在各个行业都可以看到RFID的身影。但是,在RFID应用中还存在若干问题,严重...
  • u013038590
  • u013038590
  • 2015年04月29日 20:07
  • 2134

Cookie在网站登录所带来的安全隐患及解决办法

最近几天屡次出现登录CSDN账户登陆问题,具体的问题是:在以往保留的正确的账号和密码的界面上自动登录,登录到了一个不知名的账号上。 于是我便开始寻找正确的解决方案之路: 1. 在账号输入界面重新输...
  • Echo_Ana
  • Echo_Ana
  • 2016年09月22日 10:54
  • 2529

ASP+Access的安全隐患及对策

随着Internet的发展,Web技术日新月异。继通用网关接口(CGI)之后,“ASP”(Active Server Pages)作为一种典型的服务器端网页设计技术,被广泛地应用在网上银行、电子商务、...
  • tbmqzmavp
  • tbmqzmavp
  • 2014年05月08日 16:44
  • 167

高校校园网络安全隐患及防范对策

  • 2009年12月27日 20:10
  • 35KB
  • 下载

OWASP Top 10 – 2013, 最新十大安全隐患(ASP.NET解决方法)

OWASP(开放Web软体安全项目- Open Web Application Security Project)是一个开放社群、非营利性组织,目前全球有130个分会近万名会员,其主要目标是研议协助解...
  • zhouwei1221q
  • zhouwei1221q
  • 2015年09月09日 13:53
  • 312

OWASP Top 10 – 2013, 最新十大安全隐患(ASP.NET解决方法)

OWASP(开放Web软体安全项目- Open Web Application Security Project)是一个开放社群、非营利性组织,目前全球有130个分会近万名会员,其主要目标是研议协助解...
  • dyllove98
  • dyllove98
  • 2013年04月04日 21:41
  • 20718

OWASP Top 10 – 2013, 最新十大安全隐患(ASP.NET解决方法)

OWASP(开放Web软体安全项目- Open Web Application Security Project)是一个开放社群、非营利性组织,目前全球有130个分会近万名会员,其主要目标是研议协助解...
  • _sai_
  • _sai_
  • 2015年10月08日 11:24
  • 765

快速扫描局域网中安全隐患端口

  • 2011年07月15日 14:33
  • 256KB
  • 下载

IT安全隐患排查系统

  • 2016年10月24日 11:14
  • 1.15MB
  • 下载
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:ASP+Access的安全隐患及对策
举报原因:
原因补充:

(最多只允许输入30个字)