当前位置：清风网络学院 → 网络编程 → ASP → ASP网络安全


	精品推荐


特别推荐

·ASP技巧：使用FSO自动创建多级文件夹的函数

·轻松建站主流ASP内容管理系统

·ASP教程：透彻掌握ASP分页技术


热点TOP10

·了解MSMQ，控制ASP进程（一）

·用ASP对网页进行限制性的访问

·实现session登陆时间的验证,验证用户登录页面的一个监听器

·Java基础：常用的匹配正则表达式和实例

·smarty实例教程

·ASP基础教程之ASP程序对Cookie的处理

·实例详细讲解ASP教程之ASP中使用变量的方法

·ASP入门：认识ASP程序所使用的几种脚本语言

·ASP入门知识：简单介绍ASP的基础知识

·ASP技巧：ASP中三个常用语句的使用技巧

ASP网络安全

日期：2008年1月4日作者：清风网络学院查看:[大字体中字体小字体]

or 是一个逻辑运算符,作用是在判断两个条件的时候,只要其中一个条件成立,那么等式将会成立.而在语言中,是以1来代表真的(成立).那么在这行语句中,原语句的"and"验证将不再继续,而因为"1=1"和"or"令语句返回为真值.。
另外我们也可以构造以下的用户名：
username=aa or username<>aa
pass=aa or pass<>aa
相应的在浏览器端的用户名框内写入：aa or username<>aa
口令框内写入：aa or pass<>aa,注意这两个字符串两头是没有的。
这样就可以成功的骗过系统而进入。

后一种方法理论虽然如此，但要实践是非常困难的，下面两个条件都必须具备。

1. 你首先要能够准确的知道系统在表中是用哪两个字段存储用户名和口令的，只有这样你才能准确的构造出这个进攻性的字符串。实际上这是很难猜中的。
2.系统对你输入的字符串不进行有效性检查。

问题解决和建议：

对输入的内容验证和""号的处理。

7、IIS4或者IIS5中安装有INDEX SERVER服务会漏洞ASP源程序

问题描述：

在运行IIS4或者IIS5的Index Server，输入特殊的字符格式可以看到ASP源程序或者其它页面的程序。甚至以及添打了最近关于参看源代码的补丁程序的系统，或者没有.htw文件的系统，一样存在该问题。获得asp程序，甚至global.asa文件的源代码，无疑对系统是一个非常重大的安全隐患。往往这些代码中包含了用户密码和ID，以及数据库的源路径和名称等等。这对于攻击者收集系统信息，进行下一步的入侵都是非常重要的。
通过构建下面的特殊程序可以参看该程序源代码：
http://202.116.26.38/null.htw?CiWebHitsFile=/default.asp&CiRestriction=none&CiHiliteType=Full
这样只是返回一些html格式的文件代码，但是当你添加%20到CiWebHitsFile的参数后面，如下:
http://someurl/null.htw?CiWebHitsFile=/default.asp%20&CiRestriction=none&CiHiliteType=Full
这将获得该程序的源代码。
（注意：/default.asp是以web的根开始计算。如某站点的http:///welcome/welcome.asp
那么对应就是：
http://someurl/null.htw?CiWebHitsFile=/welcome/welcome.asp%20&CiRestriction=none&CiHiliteType=Full
）
由于null.htw文件并非真正的系统映射文件，所以只是一个储存在系统内存中的虚拟文件。哪怕你已经从你的系统中删除了所有的真实的.htw文件，但是由于对null.htw文件的请求默认是由webhits.dll来处理。所以，IIS仍然收到该漏洞的威胁。

问题解决或者建议：

如果该webhits提供的功能是系统必须的，请下载相应的补丁程序。如果没必要，请用IIS的MMC管理工具简单移除.htw的映象文件。
补丁程序如下：
Index Server 2.0:
Intel:
http://www.microsoft.com/downloads/release.asp?ReleaseID=17727
Alpha:
http://www.microsoft.com/downloads/release.asp?ReleaseID=17728
Indexing Services for Windows 2000:
Intel:
http://www.microsoft.com/downloads/release.asp?ReleaseID=17726

8、ASP聊天室程序的漏洞

问题描述：

如果聊天室ASP程序设计不当，很容易会给他人利用来做坏事:可以踢人，穿墙，捣乱.
首先，我们看看聊天室里有什么漏洞，大家看看下面这段代码：

<html>
<head>
<body BGCOLOR="008888" TEXT="FFFFFF">
…………………………
………………
………
<form NAME="sendmsg" ACTION="chatt.asp" METHOD="POST" target="mtalk1"
OnSubmit="return chksend();">
<input type="hidden" name="username" value="测试者">******
<input type="hidden" name="sex" value="boy">********

上一页 [1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] 下一页

上一篇:数据库设计范式

下一篇:教你如何编写游戏外挂

·请问网络路由器的接口种类有哪些？

·从零开始学黑客：网络黑客新手入门指南

·微软.NET战略延深蓄谋打造下一代网络门户

·计算机等级考试三级网络技术复习提纲(下)

·网络赚钱常见误区

·网络速度我做主，限制带宽小技巧

	\| 帮助(？) \| 版权声明 \| 友情连接 \| 关于我们 \| 信息发布
Copyright 2007 www.viphot.com All Rights Reserved.	鄂ICP备05000083号Powered by:viphot