科技信息2008年第27期
SCIENCE &TECHNO LO GY INFORMATION 一、引言
ASP 全名为M icro soft Activ e Serv er Pag es，是一套微软开发的服务器端脚本环境，通过ASP 我们可以结合HT M L 网页、ASP 指令和Activ eX 元件建立动态、交互且高效的WEB 服务器应用程序。ACCES S 数据库是ASP 网站最常用的数据库，人们在广泛应用ASP+ACCES S 技术建立网站的同时，往往忽视ACCESS 数据库的安全问题。
二、ACCES S 数据库的安全问题
AC CESS 数据库最大的安全隐患在于可以被别人下载，而现在提供的很多ASP 空间都是只支持ACC ESS 数据库，这样一来,ASP+ACC ESS 网站的安全问题就显得更为突出,ACCESS 数据库安全问题主要表现在一下几个方面。
1.AC CESS 数据库的存储隐患
在ASP+ACCE SS 网站中，如果获得或者猜到ACCESS 数据库的存储路径和数据库名，则该数据库就可以被下载到本地。
2.Access 数据库的解密隐患
由于Access 数据库的加密机制非常简单，所以即使数据库设置了密码，解密也很容易。该数据库系统通过将用户输入的密码与某一固定密钥进行异或来形成一个加密串，并将其存储在*.mdb 文件中从地址“&H42”开始的区域内。由于异或操作的特点是“经过两次异或就恢复原值”，因此，用这一密钥与*.mdb 文件中的加密串进行第二次异或操作，就可以轻松地得到ACCESS 数据库的密码。基于这种原理，可以很容易地编制出解密程序。由此可见，无论是否设置了数据库密码，只要数据库被下载，其信息就没有任何安全性可言了。
3.程序设计中的安全隐患
ASP 代码利用表单(fo rm)实现与用户交互的功能，而相应的内容会反映在浏览器的地址栏中，如果不采用适当的安全措施，只要记下这些内容，就可以绕过验证直接进入某一页面。例如在浏览器中敲入“……page.ASP?x=1”，即可不经过表单页面直接进入满足“x =1”条件的页面。因此，在设计验证或注册页面时，必须采取特殊措施来避免此类问题的发生。
三、Acc es s 数据库的安全问题解决方案
由于Access 数据库加密机制过于简单,
因此，如何有效地防止
Access 数据库被下载，就成了提高ASP+Access 解决方案安全性的重中之重。针对常见的数据库安全问题，本文提出以下几种解决方案。
1.非常规命名法
防止数据库被到的简便方法是为Access 数据库文件起一个复杂的非常规名字，并把它存放在多层目录下。例如，对于学生信息管理系统的数据库文件，不要简单地命名为“Student.mdb ”或“Xuesheng.mdb ”，而是要起个非常规的名字，例如:asdws22ede.mdb，再把它放在如./dfdfe/wewewe/2323/23swe 之类的深层目录下。这样，对于一些通过猜的方式得到Access 数据库文件名的非法访问方法起到了有效的阻止作用。
2.使用ODB C 数据源
在ASP 程序设计中，应尽量使用ODBC 数据源，不要把数据库名直接写在程序中，否则，数据库名将随ASP 源代码的失密而一同失密。即使数据库名字起得再怪异，隐藏的目录再深,ASP 源代码失密后，数据库也很容易被下载下来。如果使用ODBC 数据源，就不会存在这样的问题。
3.利用Sessio n 对象进行注册验证
asp网页源码
为防止未经注册的用户绕过注册界面直接进入应用系统，可以采用S 对象进行注册验证。S 对象最大
的优点是可以把某用
户的信息保留下来，让后续的网页读取。
4.修改数据库扩展名
也可以将数据库的扩展名改为.asp，当然在定位数据库的时候也要用类似database.asp 的文件名，这样数据库不会被轻易的下载，而数据还可以正常的读出写入。
5.注意ASP 程序设计中的安全问题
对于大多数人来讲，认为网站只要加了登录密码就无法正常进入了。而请您看下面的验证语句:
sql="select unam e,pwd from uinfo where "sql=sql&"uname='"&request.form("uname")&"'"sql=sq l&"and pw d='"&request.form("pwd")&"'"rs.open sql,co nn,1,1
f or rs.bo f then
respo nse.write "对不起，错误的用户名/密码!"else
response.write "登录成功!"end if
这段代码是十分危险的，只要对方知道用户名就可以登录，你可以在密码框里输入“'or '1'='1”就可以了，其原理很简单，就是利用了sql 查询语句，大家注意，用此方法提交以后的sql 语句变成了:(如果用户名为adm inistrator)select uname,pw d fro m uinfo where uname ='ad ministrator'and pwd=''or '1'='1'，如果用户名administrato r 存在的话那么这个记录是可以被选出来的，之后当然就是可以正常登录了。
解决方案:
sql="select unam e,pwd from uinfo where "sql=sql&"uname='"&request.form("uname")&"'"rs.open sql,co nn,1,f or rs.bo f then
respon se.write "对不起，本站没有此用户!"else
if rs.fields("p wd")=trim(request.form("pwd"))then respon se.write "登录成功!"else
response.write "错误的用户名/密码!"end if end if
6.对ASP 页面进行加密
为有效地防止ASP 源代码泄露，可以对ASP 页面进行加密。一般有两种方法对ASP 页面进行加密。
一种是使用组件技术将编程逻辑封装入DLL 之中；另一种是使用微软的Script Encoder 对ASP 页面进行加密。但是，使用组件技术存在的主要问题是每段代码均需组件化，操作比较烦琐，工作量较大；而使用Script Enco der 对ASP 页面进行加密，操作简单、收效良好。Script E nco der 方法具有许多优点:(1)HTM L 仍具有很好的可编辑性
Script Encoder 只加密在HT M L 页面中嵌入的ASP 代码，其他部分仍保持不变，这就使得我们仍然可以使用FrontPag e 或Dream weaver 等常用网页编辑工具对HT M L 部分进行修改、完善，只是不能对ASP 加密部分进行修改，否则将导致文件失效。
(2)操作简单
只要掌握几个命令行参数即可。Script Encoder 的运行程序是x ，其使用方法如下[][f][x ][(下转第3页)
ASP+ACCESS 网站安全问题浅谈
廖建锋
(河南经贸职业学院河南
郑州
450053)
【摘要】ASP 作为一种交互式的动态网页开发技术，具有开发周期短、存取数据库方便、执行效率高等特点，在网站开发中ASP 技术得到广泛应用。ACCE SS 数据库是ASP 网站最常用的数据库，本文从ACCESS 数据库方面阐述了AS P 构建网站存在的主要安全问题，并给出了相应的一些解决方案。
【关键词】ASP ；安全；数据库
○I T 技术论坛○6ession essio n screnc.e e :screnc /s //l /l 42

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。