基于ASP技术下的WEB服务器安全解析
作者：李殿勋
来源：《计算机光盘软件与应用》2012年第23期
        摘要：本文对Asp技术下的WEB服务器的安全问题进行分析和总结，旨在提高使用ASP技术的WEB开发和应用的安全性。
        关键词：ASP；Web服务器；数据库
        中图分类号：TP391 文献标识码：A 文章编号：1007-9599 （2012） 23-0000-02
        Asp是微软公司推出的基于WEB编程的服务器端脚本环境，ASP可以轻松地实现对页面内容的动态控制，根据不同的浏览者，显示不同的页面内容。ASP可包含HTML标签，也可以直接存取数据库及使用无限扩充的ActiveX控件，因此在程序编制上要比HTML方便而且更富有灵活性。目前，IIS+ASP+SQL（或Access）方案已成为中小型企业构建自己网上信息系统的首选方案。虽然Asp具有快速开发能力，但Asp也存在很多不容忽视的安全漏洞。
        1 ASP程序设计安全技术
        Asp程序设计的安全主要涉及三个方面：Asp源代码的安全、Asp程序设计的安全和数据库安全。
        1.1 ASP源代码的安全。（1）保证ASP源码的安全的主要技术是Asp脚本加密技术。常用方法有两种：一是ASP2DLL技术。其基本思想是利用VB6.0提供的Activexdll对象将Asp代码进行封装，编译为DLL文件，在Asp程序中调用该DLL文件。二是利用微软提供的ScriptEncoder加密软件对Asp页面进行加密。（2）置合适的脚本映射。应用程序的脚本映射保证了Web服务器不会意外地下载Asp文件的源代码，但不安全或有错误的脚本映射易导致Asp源代码泄漏。因此，应将用不到的有一定危险性的脚本映射删掉（如*.htr文件及*.htw，*.ida，*.idq等索引文件）。
        1.2 程序设计中的安全。（1）用户名、口令机制。用户名、口令是最基本的安全技术，在Asp中常采用Form表单提交用户输入的账号和密码，与用户标识数据库中相应的字段进行匹配，在必要的场合可以使用MD5算法来加密用户输入的密码，可以保证在线路被窃听的情况下依然保证数据的安全，保护用户口令的安全。（2）注册验证。为了网站资源的安全性和易于管理，可以对用户进行分级，给定权限，使特定用户访问特定的资源，
也可以阻止未授权用户使用网站的资源，这就需要对用户进行注册验证操作。在ASP中，我们可以利用Session对象和Http头信息来实现此类安全控制。当访问者通过身份验证页面后，就把Session对象的Sessionid属性作为一个Session变量存储起来，当访问者试图导航到一种有效链接的页面时，可将当前的Sessionid与存储在Session对象中的ID进行比较，如果不匹配，则拒绝访问。如在Session（“id”）中保存着第一次链接的Sessionid，<%ifsession.sessionid<>session（“id”）d%>’拒绝访问。（3）网页过期管理。考虑到有可能用户在使用网页的过程中，有可能会长时间离开计算机处理别的事情，这样会给别有用心的人有可乘之机，所以应该给网页一个过期时间。这样不仅保证了用户的安全，也可以减少服务器的链接数，减少服务器压力。可以使用session.timeout=时间，过了这么长时间网页就失效了，前提是你用一个session值来判断登录状态如session.timeout=20。（4）页面缓冲管理：页面缓冲可以加快网站的浏览速度，但也会给非法用户提供了越权浏览的机会。因此，重要的Web页面（如身份验证页面）必须禁止页面缓存，强制浏览器每次向Web服务器请求新页面。利用Aspasp网页源码的Response对象的Expires属性和Clear方法可解决此问题。具体设置：pires=0Rsponse.clear，expires表示缓存页面的有效期，0表示立即过期，clear表示清空缓冲区。（5）程序错误管理：错误
的执行参数和意外的执行过程，都可以导致页面出现错误提示，而这些错误提示会提供给别人很多网站的信息，比如使用数据库的类型，表中所含字段的名称等等。会造成程序的不安全。所以在编程过程中要注意对异常数据的处理和意外事件的控制，才能保证网站的安全性。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。