论维护ＡＳＰ应用程序的安全性
【摘要】正确配置安全设置，以保护您的ASP应用程序不被未授权的用户访问和篡改。该文提供了多种维护ASP应用程序的方法。
【关键字】ASP 安全性 Web服务器
ASP是位于服务器端的脚本运行环境，通过这种环境，用户可以创建和运行动态的交互式Web 服务器应用程序。ASP使用的ActiveX技术基于开放设计环境，用户可以自己定义和制作组件加入其中，使自己的动态网页几乎具有无限的扩充能力。ASP还可利用ADO方便快捷地访问数据库，从而使得开发基于WWW的应用系统成为可能。但是，千万不要轻视正确配置安全设置的重要性。如果不正确配置安全设置，不但会使您的ASP应用程序遭受不必要的篡改，而且会妨碍正当用户访问您的asp文件。Web服务器提供了各种方法，保护您的ASP应用程序不被未授权的用户访问和篡改。
1 NTFS 权限
您可以通过单独的文件和目录应用NTFS访问权限来保护ASP应用程序文件。NTFS 权限是We b服务器安全性的基础，它定义了一个或一组用户访问文件和目录的不同级别。当拥有Windo ws NT 有效帐号的用户试图访问一个有权限限制的文件时，计算机将检查文件的访问控制表。该表定义了不同用户和用户组所被赋予的权限。如果用户的帐号具有打开文件的权限，计算机则允许该用户访问文件。
2 维护Globalasa的安全
为了充分保护 ASP 应用程序，一定要在应用程序的Globalasa文件上为适当的用户或用户组设置NTFS文件权限。如果Globalasa包含向浏览器返回信息的命令而您没有保护 Global asa文件，则信息将被返回给浏览器，即便应用程序的其他文件被保护。而且，一定要对应用程序的文件应用统一的NTFS权限。
3 Web 服务器权限
可以通过配置的Web服务器的权限来限制所有用户查看、运行和操作的ASP 页的方式。不同于 NTFS权限提供的控制特定用户对应用程序文件和目录的访问方式，Web服务器权限应用于所有用户，并且不区分用户帐号的类型。对于要运行您的ASP应用程序的用户，在设置Web服务器权限时，必须遵循下列原则：
对包含 asp文件的虚拟目录允许“读”或“脚本”权限；对 asp文件和其他包含脚本的文件所在的虚目录允许“读”或“脚本”权限；对包含 asp文件和其他需要“执行”权限才能运行的文件的虚目录允许“读”和“执行”权限。
4 脚本映射文件
应用程序的脚本映射保证了Web服务器不会意外地下载 asp文件的源代码。例如，即使您为包含了某个 asp文件的目录设置了“读”权限，只要该 asp 文件隶属于某个脚本映射应用程序，那么您的Web服务器就不会将该文件的源代码返回给用户。
5 Cookie 安全性
ASP 使用SessionID cookie跟踪应用程序访问或会话期间特定的Web浏览器的信息。这就是说，带有相应的 cookie 的 HTTP 请求被认为是来自同一Web 浏览器。Web服务器可以使用Se ssionID cookies 配置带有用户特定会话信息的ASP应用程序。
SessionID能否被黑客猜中
为了防止计算机黑客猜中SessionID cookie并获得对合法用户的会话变量的访问，Web 服务器为每个SessionID指派一个随机生成号码。
每当用户的Web浏览器返回一个 SessionID coo kie时，服务器取出SessionID 和被赋予的数字，接着检查是否与存储在服务器上的生成号码一致。若两个号码一致，将允许
户访问会话变量。这一技术的有效性在于被赋予的数字的长度（64 位），此长度使计算机黑客猜中SessionID从而窃取用户的活动会话的可能性几乎为0。
加密重要的SessionID Cookie
截获了用户sessionID cookie的计算机黑客可以使用此cookie假冒该用户。如果ASP应用程序包含私人信息，信用卡或银行帐户号码，拥有窃取的cookie 的计算机黑客就可以在应用程序中开始一个活动会话并获取这些信息。您可以通过对您的Web服务器和用户的浏览器间的通讯链路加密来防止SessionID cookie被截获。
6 使用身份验证机制保护被限制的ASP内容
您可以要求每个试图访问被限制的ASP内容的用户必须要有有效的Windows NT帐号的用户名和密码。每当用户试图访问被限制的内容时，Web服务器将进行身份验证，即确认用户身份，以检查用户是否拥有有效的Windows NT帐号。Web服务器支持以下几种身份验证方式：
基本身份验证提示用户输入用户名和密码
Windows NT请求/响应式身份验证从用户的Web浏览器通过加密方式获取用户身份信息。然而，Web服务器仅当禁止匿名访问或Windows NT文件系统的权限限制匿名访问时才验证用户身份。
保护元数据库
访问元数据库的ASP脚本需要Web服务器所运行的计算机的管理员权限。在从远程计算机上运行这些脚本时，须经已通过身份验证的连接，如使用 Windows NT 请求/响应验证方式进行连接。应该为管理级 asp文件创建一个服务器或目录并将其目录安全验证方式设置为 Wind ows NT 请求/响应式身份验证。目前，仅 Microsoft Internet Explorer version 20 或更高版本支持Windows NT 请求/响应式身份验证。
7 使用SSL维护应用程序的安全
SSL 协议作为Web服务器安全特性，提供了一种安全的虚拟透明方式来建立与用户的加密通讯连接。SSL保证了Web内容的验证，并能可靠地确认访问被限制的Web站点的用户的身份。
通过SSL，您可以要求试图访问被限制的ASP应用程序的用户与您的服务器建立一个加密连接；以防用户与应用程序间交换的重要信息被截取。
如果您从位于没有保护的虚拟根目录中的 asp文件中包含了位于启用了SSL 的目录中的文件，则SSL将不被应用于被包含文件。因此，为了保证应用SSL，应确保包含及被包含的文件都位于启用了SSL的目录中。
控制对您的ASP应用程序访问的一种十分安全的方法是要求用户使用客户资格登录。客户资格是包含
用户身份信息的数字身份证。用户通常从委托的第三方组织获得客户资格，第三方组织在发放资格证之前确认用户的身份信息。每当用户试图登录到需要资格验证的应用程序时，用户的Web浏览器会自动向服务器发送用户资格。如果Web服务器的SSL资格映射特性配置正确，那么服务器
就可以在许可用户对ASP 应用程序访问之前对其身份进行确认。
8 创建事务性脚本
应用程序常常需要具有在事务内部运行脚本和组件的能力。事务是一种服务器操作，即使该操作包括很多步骤，也只能整体返回操作是成功还是失败。用户可以创建在事务内部运行的 ASP脚本，如果脚本的任何一部分失败，整个事务都将会终止。
On the ASP to maintain the security of applications 【abstract】Properly configured security settings to protect your ASP applications will not be unauthorized user access and tampering. The ASP provides a wide range of application of safeguard procedures.asp脚本的应用教案
【keyword】asp,Security,web server
ASP is a server-side scripting environment, through such an environment, users can create and run dynamic, interactive Web server applications. ASP's ActiveX technology is based on the use of open
design environment, users can create their own definitions and components by adding them to their own dynamic web site with almost unlimited capacity to expand. ASP can also use ADO to access the database quickly and easily, allowing the development of applications based on the WWW possible. However, do not take the correct configuration of the importance of security settings. If you do not correctly configure the security settings, not only make your ASP application to unnecessary tampering, and would hamper legitimate users access to your asp file. Web server to provide a variety of methods to protect your ASP applications will not be unauthorized user access and tampering.
First, NTFS permissions
You can separate the application of NTFS file and directory access permissions to protect document ASP applications. NTFS permissions We b server is the basis of security, which defines one or a group of users to access files and directories at different levels. When Windo ws NT has a valid account of a user tries to access restricted documents, the computer will check the file access control table. The table definition of the different users and user groups have been given permission. If the user account has permissions to open the file, the computer allows the user to access files.
Second, To maintain the security of Globalasa
In order to fully protect the ASP application, the application must document the Globalasa the appropriate user or group setting NTFS file permissions. If Globalasa contains information to the browser to return to the command and you do not have the protection of Global asa file, then information will be returned to the browser, even if the application of other documents to be protected. Moreover, the application must be on the uniform application of the NTFS file permissions.
Third, Web server permissions
Can configure the Web server permissions to restrict users to view all the running and operation of the way ASP pages. Unlike NTFS permissions to control the provision of application-specific user access to files and directories the way, Web server permissions apply to all users, and do not distinguish between the type of user account. To run for your ASP applications users, in the setting Web server permissions must be guided by the following principles:
Asp file containing the virtual directory to allow "read" or "script" permissions; of asp file and other script file that contains the virtual directory to allow "read" or "script" permissions; to include asp files and other "executive" privileges to run the virtual directory of the document to allow "read" and "executive" authority.
Fourth, Script mapping file
Script mapping applications to ensure that the Web server does not accidentally

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。