基于ＡＳＰ的安全技術(shù)分析

代　穎　張滬寅

摘要:本文從數(shù)據(jù)庫、服務(wù)器、ASP程序設(shè)計三個方面對ASP的安全技術(shù)進行了分析,指出了ASP環(huán)境下存在的安全問題,并提出了預(yù)防解決辦法。

關(guān)鍵詞:ASP IIS SSI 數(shù)據(jù)庫

0 引言

ASP是微軟推出的一種用來取代CGI的技術(shù),是位于服務(wù)器端的腳本運行環(huán)境,通過這種環(huán)境,用戶可以創(chuàng)建和運行動態(tài)的、交互式的Web應(yīng)用程序。被廣泛應(yīng)用在網(wǎng)上銀行、電子商務(wù)、網(wǎng)上調(diào)查、網(wǎng)上查詢、BBS、搜索引擎等各種互聯(lián)網(wǎng)應(yīng)用中。該解決方案在為我們帶來便捷的同時,也帶來了嚴峻的安全問題。本文試圖從服務(wù)器端、數(shù)據(jù)庫端、ASP程序設(shè)計三個方面對ASP的安全技術(shù)進行分析。

1 數(shù)據(jù)庫的安全技術(shù)

1.1 Access數(shù)據(jù)庫的安全

1.1.1 非常規(guī)命名法。為Access數(shù)據(jù)庫文件起一個復(fù)雜的無規(guī)律的名字,并把它放在幾個目錄下。

1.1.2 使用ODBC數(shù)據(jù)源,不要把數(shù)據(jù)庫名寫在程序中。有些人喜歡把DSN寫在程序中,這樣即使名字起的再不規(guī)律,目錄隱藏的再深,ASP代碼丟失后,數(shù)據(jù)庫也容易被下載下來。因此建議在ODBC里設(shè)置數(shù)據(jù)源。

1.1.3 使用ACCESS來為數(shù)據(jù)庫文件編碼及加密。為防止他人使用其他工具查看數(shù)據(jù)庫文件,可以對數(shù)據(jù)庫文件進行編碼。

1.2 SQL Server數(shù)據(jù)庫的安全

1.2.1 查詢最新的服務(wù)包。保證你總能有最新的服務(wù)包。

1.2.2 更改sa口令,取消guest帳號。SA具有對SQL Server數(shù)據(jù)庫操作的全部權(quán)限,但在安裝SQL Server時sa缺省口令為空,為SQL Server帶來了潛在的隱患,應(yīng)把sa的口令換為更安全的口令,同時不能把sa帳號的密碼寫在應(yīng)用程序或者腳本中。

1.2.3 控制訪問權(quán)限。定義用戶和角色對數(shù)據(jù)庫的訪問權(quán)限,限制用戶對數(shù)據(jù)庫表的的查詢、更改、插入、刪除權(quán)限,可以通過給用戶訪問視圖和執(zhí)行存儲過程的權(quán)限,以保證數(shù)據(jù)庫的安全。

1.2.4 限制SQL Server自帶的存儲過程。在SQL Server攻擊中有一類是構(gòu)造特殊字符串調(diào)用SQL Server系統(tǒng)中master數(shù)據(jù)庫自帶的存儲過程來獲取權(quán)限。因此可以去除或限制SQL Server系統(tǒng)中自帶的存儲過程。

1.2.5 監(jiān)視聯(lián)接,通過聯(lián)接能告知我們誰在試圖進入SQL Server,所以監(jiān)視聯(lián)接是確保數(shù)據(jù)庫安全的好方法。對于一個大型的運行中的SQL Server,可能會有太多的鏈接數(shù)據(jù)需要監(jiān)視,不過監(jiān)視那些失敗了的鏈接確有必要,因為他們可能代表企圖進入的一些嘗試。

2 ASP的安全技術(shù)分析

2.1 Web服務(wù)器端的安全技術(shù)

2.1.1 目錄及文件的保護 ①設(shè)定目錄和文件的訪問權(quán)限。通過設(shè)定目錄和文件的訪問權(quán)限,禁止用戶對目錄文件進行某些操作的權(quán)限?？赏ㄟ^文件夾屬性進行設(shè)置,如果未出現(xiàn)“安全”選項卡,可先將“文件夾選項”里,查看中的“使用簡單文件共享”前的勾去掉,再進行相應(yīng)設(shè)置。②虛擬目錄。IIS支持虛擬目錄,通過在“服務(wù)器屬性”對話框中的“目錄”標簽可以管理虛擬目錄。虛擬目錄隱藏了有關(guān)站點目錄的重要信息,建議在設(shè)置WEB站點時,將HTML文件同ASP文件分開放置在不同的目錄下,然后將HTML子目錄設(shè)置為“讀”,將ASP子目錄設(shè)置為“執(zhí)行”,這不僅方便了對WEB的管理,而且最重要的提高了ASP程序的安全性,防止了程序內(nèi)容被客戶所訪問。③防止查看ASP文件。IIS自帶的Code.ASP或Showcode.ASP文件,可以查看ASP程序的源代碼,從而竊取相關(guān)的信息?？梢栽赪eb服務(wù)器端刪除該文件或者禁止訪問存放該文件的目錄。

2.1.2 限制訪問技術(shù) ①限制訪問用戶IP或DNS。IIS能夠授權(quán)或拒絕特定IP地址對其訪問,通過拒絕某特定IP地址的訪問,以排除入侵干擾。限制CGI-BIN目錄(即存放可執(zhí)行的腳本和程序目錄)的訪問或使用權(quán)限,該目錄只有系統(tǒng)管理員具有寫的權(quán)限。為了系統(tǒng)的安全性,所有的腳本和程序都應(yīng)該存放在服務(wù)器上的某個目錄下。②用戶控制的安全性。a匿名用戶。安裝IIS后產(chǎn)生的匿名用戶IUSR_Computername(密碼隨機產(chǎn)生),其匿名訪問給Web服務(wù)器帶來潛在的安全性問題,應(yīng)對其權(quán)限加以控制。如無匿名訪問需要,可取消Web的匿名服務(wù)。b一般用戶。通過使用數(shù)字與字母(包括大小寫)結(jié)合的口令,提高修改密碼的頻率,封鎖失敗的登錄嘗試以及賬戶的生存期等對一般用戶賬戶進行管理。③使用防火墻對數(shù)據(jù)包進行過濾,禁止某些地址對服務(wù)器的某些服務(wù)的訪問,并在外部網(wǎng)絡(luò)和Web服務(wù)器中建立雙層防護。利用防火墻,將服務(wù)器中沒有必要從防火墻外面訪問的服務(wù)及端口阻隔,進一步增強開放服務(wù)的安全性。

2.1.3 審核與監(jiān)視技術(shù)。安全審核負責(zé)監(jiān)視系統(tǒng)中各種與安全有關(guān)的事件,生成安全日志,并提供查看安全日志的方法。通過分析安全日志,可以發(fā)現(xiàn)并阻止各種危及系統(tǒng)安全的行為。除了安全日志,系統(tǒng)日志和應(yīng)用程序日志也是很好的監(jiān)視工具,它們記錄了用戶自登錄開始直到退出的整個操作過程,為網(wǎng)絡(luò)安全分析提供可靠的依據(jù)。

2.1.4 SSL安全機制。建立了SSL安全機制后,只有SSL允許的客戶才能與SSL允許的Web站點進行通信,并且在使用URL資源定位器時,輸入https://,而不是http://。

2.2 ASP程序設(shè)計安全技術(shù) ASP程序設(shè)計的安全主要涉及兩個方面:一是ASP源代碼的安全,二是ASP程序設(shè)計中的安全。常見的安全技術(shù)如下:

2.2.1 身份驗證?；旧矸蒡炞C是提示用戶輸入用戶名和密碼。windows請求/響應(yīng)式身份驗證,從用戶的web瀏覽器通過加密方式獲取用戶身份信息。設(shè)置用戶名和口令對進入系統(tǒng)的用戶進行限制。

2.2.2 Cookie的安全性。為防止非法用戶訪問合法用戶的會話變量,服務(wù)器為每個SessionID指派一個隨機生成號碼。每當(dāng)用戶的Web瀏覽器返回一個SessionID Cookie時,服務(wù)器取出SessionID被賦予的數(shù)字,檢查與存儲在服務(wù)器上的生成號碼是否一致,如果不一致則不允許用戶訪問會話變量。同時,應(yīng)加密重要的Sessionid Cookie。一旦黑客截獲了用戶的Sessionid Cookie,就能假冒該用戶開始一個活動會話。

2.2.3 注冊驗證。ASP代碼使用表單實現(xiàn)交互,而相應(yīng)的內(nèi)容會反映在瀏覽器的地址欄中,如果不采用適當(dāng)?shù)陌踩胧?只要記下這些內(nèi)容,就可以繞過驗證直接進入某一頁面。因此,必須采取特殊措施來避免此類問題的產(chǎn)生?？梢圆捎肧ession對象進行注冊驗證。

2.2.4 頁面緩存管理。如果瀏覽器設(shè)置了“瀏覽網(wǎng)頁時首先查看本地緩沖區(qū)里的頁面”,就給非法用戶提供了越權(quán)瀏覽的機會。因此,重要的Web頁面(如身份驗證頁面)必須禁止頁面緩存,強制瀏覽器每次向Web服務(wù)器請求新頁面。

2.2.5 對ASP頁面進行加密。為有效地防止ASP源代碼泄露,可以對ASP頁面進行加密。有兩種方法對ASP頁面進行加密。一是使用組件技術(shù)將編程邏輯封裝入Dll之中;二是使用微軟的Script Encoder對ASP頁面進行加密。

3 結(jié)束語

網(wǎng)絡(luò)安全問題一直現(xiàn)在困擾開發(fā)設(shè)計者的難題,本文對ASP環(huán)境下的安全問題進行了分析總結(jié),分別從數(shù)據(jù)庫,服務(wù)器,ASP程序設(shè)計三方面進行了分析并提出了預(yù)防解決辦法,面對當(dāng)前不斷出現(xiàn)的新的攻擊方法,要構(gòu)建一個面面俱到的安全體系非常困難的,因此,ASP環(huán)境下的的安全應(yīng)側(cè)重于預(yù)防,從良好的編程習(xí)慣入手,全國的考慮分析系統(tǒng)的結(jié)構(gòu),及時地堵上系統(tǒng)漏洞,定期進行風(fēng)險評估,同時安裝入侵檢測系統(tǒng)等預(yù)防措施能及時有效地進行入侵防范。

參考文獻:

[1]楊世錫,趙輝.ASP+SQL Server動態(tài)網(wǎng)站開發(fā).北京:電子工業(yè)出版社.2005.8.1.

[2]劉佳兵.ASP環(huán)境下的安全技術(shù)分析[J].職業(yè)圈,2007.6.43.