ASP網(wǎng)站漏洞解析及黑客入侵防范探究

《ASP網(wǎng)站漏洞解析及黑客入侵防范探究》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在工程資料-天天文庫。

1、ASP網(wǎng)站漏洞解析及黑客入侵防范探究摘要;在分析ASP技術(shù)及其主要的技術(shù)特點基礎(chǔ)上,探討了ASP漏洞產(chǎn)生的典型原因及黑客入侵的關(guān)鍵防范技術(shù)措施。同時從ASP站點遭受木馬攻擊的應(yīng)對以及Session入侵防范兩個方面分析了ASP網(wǎng)站漏洞的相關(guān)防范技術(shù)方法,形成了相對完善的黑客入侵防范技術(shù)體系。關(guān)鍵詞：ASP;漏洞；黑客防范中圖分類號：TP393文獻標識碼：A文章編號:1009-3044(2017)07-0051-02在當(dāng)前Internet與Intranet技術(shù)快速發(fā)展以及廣泛應(yīng)用的基礎(chǔ)上，ASP技術(shù)作為Windows環(huán)境下首選的網(wǎng)站開發(fā)與編程技術(shù)，其已經(jīng)受到相關(guān)技術(shù)人員的

2、重視。雖然ASP技術(shù)具有諸多的優(yōu)點，但是其在實際的開發(fā)應(yīng)用過程中一直受到漏洞較多的影響，導(dǎo)致構(gòu)建的網(wǎng)頁存在一定的安全隱患。所以，有必要分析導(dǎo)致ASP網(wǎng)絡(luò)安全漏洞的主要原因，并提出對應(yīng)的安全技術(shù)措施，保證網(wǎng)頁的安全性，避免給黑客留下可乘之機。1ASP技術(shù)及其技術(shù)特點1.1ASP技術(shù)的定義ASP即為ActiveServerPages,其中文意思就是“動態(tài)服務(wù)器頁面”。ASP時替代CGI腳本程序而開發(fā)的一種編程應(yīng)用程序，其可以將數(shù)據(jù)庫和其他的程序相互的交替使用，逐步發(fā)展成為了當(dāng)前廣泛應(yīng)用的一種簡單。便捷的編程工□c其他的編程工具相比，ASP具有簡單易學(xué)，而且由于其是微軟公司

3、開發(fā)，能夠與Windows系統(tǒng)良好兼容，具有良好的軟件生態(tài)環(huán)境，因此其得到了廣泛的應(yīng)用。但是，其也存在一定的問題，就是其缺陷和漏洞較多，導(dǎo)致其在實際的應(yīng)用過程中存在較大的安全隱患，需要在編程過程中予以關(guān)注，以保證網(wǎng)站的安全穩(wěn)定。1.2ASP技術(shù)的主要特點ASP技術(shù)的主要特點包括這樣三個方面：其一，服務(wù)器上的ASP通過其解釋程序?qū)崿F(xiàn)對服務(wù)器端ASP程序的執(zhí)行，使得其產(chǎn)生的結(jié)果可以HTML的格式向客戶端的瀏覽器發(fā)送過去，是得所有的終端瀏覽器都能夠從ASP獲得數(shù)據(jù),實現(xiàn)瀏覽器功能；其二，由于ASP在實現(xiàn)該功能時是通過執(zhí)行服務(wù)器中的相關(guān)命令而實現(xiàn)的，然后通過將ASP產(chǎn)生的結(jié)果

4、以HITML格式傳遞至瀏覽器當(dāng)中，因此應(yīng)用者并不能夠觀察得到應(yīng)用ASP編寫的原始代碼程序,能夠有效避免代碼被不法人員竊取；其三，ACCESS與SQL數(shù)據(jù)庫之間能夠進行快捷的數(shù)據(jù)連接，這使得ASP網(wǎng)頁的響應(yīng)速度較快，提高了系統(tǒng)的使用體驗。an2ASP漏洞產(chǎn)生的關(guān)鍵原因及黑客入侵防范措施2.1ASP漏洞產(chǎn)生關(guān)鍵原因在設(shè)計網(wǎng)站過程中，為了能夠?qū)Y源進行充分利用，一臺服務(wù)器上通常設(shè)置了多個網(wǎng)站。而所有的網(wǎng)站都是由管理人員自主開發(fā)設(shè)計的，其代碼的安全性與管理員自身的開發(fā)水平直接相關(guān)。有的則是直接購買的商用軟件，與自主開發(fā)的軟件相比，其安全性較佳，而且補丁更新也更快。部分則是在網(wǎng)

5、上直接下載免費版本，導(dǎo)致網(wǎng)站代碼的安全性差，甚至下載的軟件被人植入了后門。這些因素使得網(wǎng)站的代碼來源極為復(fù)雜，使得開發(fā)人員的水平成為了影響站點安全性的主要因素。因此，想要從外部預(yù)防所有存在的代碼漏洞基本不可能，而只能夠內(nèi)部加以考慮。這時，若黑客進入網(wǎng)站,并在其中植入木馬，如何才能將其破壞力降至最低？在實際的應(yīng)用過程中，一般使用設(shè)置權(quán)限的方式來達到該目的。所謂計算機操作系統(tǒng)權(quán)限是指不同的用戶賬戶對不同類型的文件、文件夾以及注冊表的訪問能力是不同，通過設(shè)置不同類型的用戶群體減少出現(xiàn)風(fēng)險的概率。例如，一個系統(tǒng)默認的匿名賬戶為IUSR,其是在Users用戶組中構(gòu)建的賬號，通常

6、情況下，服務(wù)器上網(wǎng)站的身份均為lUSRo當(dāng)其中的網(wǎng)站遭到黑客入侵之后，受到Users權(quán)限組的限制,能夠?qū)⑵淦茐南拗圃谳^小的區(qū)間范圍中。2.2ASP網(wǎng)站黑客入侵防范措施分析2.2.1新建賬戶殛指定網(wǎng)站的啟動賬戶任何一個網(wǎng)站都與一個啟動賬戶相對應(yīng)，在后期的維護和管理過程中，需要對這些賬戶進行統(tǒng)一的權(quán)限操作和管理，在賬戶構(gòu)建過程中，若采取對注冊表訪問權(quán)限進行設(shè)置的方式，還需要采取新建用戶組的方式，例如重新構(gòu)建IIS_guests用戶組，將同類型的所有賬號都加入其中。具體的操作為：在IIS管理器當(dāng)中添加網(wǎng)站，在彈出的選項卡當(dāng)中點擊“傳遞身份證驗證”中的“連接為”按鈕，然后選擇

7、對應(yīng)的用戶，確認設(shè)置，并將構(gòu)建的用戶名及對應(yīng)的密碼輸入，確定即可。在建站完成之后，系統(tǒng)將給每一個站點都自動的構(gòu)建一個相應(yīng)的應(yīng)用程序池，其具體的運行身份即為之初構(gòu)建的賬戶，即每個應(yīng)用程序池都與一個IIS工作進程相對應(yīng)，每一個在任務(wù)管理器中的網(wǎng)站就對應(yīng)一個進程。通常，在一個ASP網(wǎng)站中，就完成了一個網(wǎng)站啟動賬戶的設(shè)置。通過完成后續(xù)操作，就能夠完成所有的站點安全構(gòu)建；1）如果ASP站點的開發(fā)是在非.Net4.0框架下進行的，則需要將所有應(yīng)用程序池的托管模式從之前默認的“集成”修改成為“經(jīng)典”的模式；2）將網(wǎng)站中的IIS設(shè)置項的“ASP.NET模擬”選項設(shè)置