堵塞Web漏洞（中）

- 中國WEB開發者網絡 (http://www.webasp.net)
-- 技術教程 (http://www.webasp.net/article/)
--- 堵塞Web漏洞（中） (http://www.webasp.net/article/14/13632.htm)
-- 作者：未知
-- 發佈日期： 2004-10-09
●其它錯誤
此外，還有一些其它難以歸類的錯誤，如「非1即0」導致繞過認證的問題。

9.2.3𨪜 常用的的CGI漏洞檢測工具

1.Twwwscan

這個工具速度比較快，而且可以利用參數把windows系統和unix系統分開掃瞄，不使用圖形界面，比較簡單些；

2.Cis

是個圖形化的小巧掃瞄工具，主要是針對windows系統設計，對檢查出來的CGI問題有比較詳細的描述，利於使用、分析和解決漏洞；

3.Voideye

圖形界面做的比較花哨，可以檢查的CGI問題比較多些，但不太準確。

4.Webscan

檢查種類特多，好像有300來條，能提供HTML格式報告，集合了一些跟隨攻擊方式，這些工具只是檢查一下服務器有沒有這個鏈接存在，如果有，就會報出存在漏洞，這當然會有很多誤報，工具是死的，人是活的，熟練應用這些輔助工具需要點時間熟悉一下就行了。

9.2.4𨪜 如何讓你的CGI更安全

瞭解了CGI的安全問題，我們也該知道怎麼加強CGI的安全了吧？下面簡單總結一下作為參考：

1．使用最新版本的Web服務器，安裝最新的補丁程序，正確配置服務器；

2．按照幫助文件正確安裝CGI程序，刪除不必要的安裝文件和臨時文件；

3．使用C編寫CGI程序時，使用安全的函數；

4．使用安全有效的驗證用戶身份的方法；

5．驗證用戶的來源，防止用戶短時間內過多動作；

6．推薦過濾「& ; ` ' \ 」 | * ? ~ < > ^ ( ) [ ] { } $ \n \r \t \0 # ../；

7．注意處理好意外情況；

8．實現功能時制定安全合理的策略；

9．培養良好的編程習慣；

10．科學嚴謹的治學態度，避免「想當然」的錯誤；

9.3𨪜ASP的安全性

ASP(Active Server Page) ，一個重要的Web技術。它的出現給互聯網帶來了新的活力，它以一種前所未有的方式處理瀏覽器與服務器的交互通過內建對像、ADO支持、WSH(可通過它管理NT DOMAIN)幾乎可以完成傳統應用程序所能完成的一切工作！！

ASP是一種類似HTML(Hypertext Markup Language超文本標識語言)、Script與CGI(Common GAteway Interface 通用網關接口)的結合體，但是其運行效率卻比CGI更高、程序編製也比HTML更方便且更有靈活性，程序安全及保密性也比Script好。如果您是第一次接觸互連網(Internet)，那麼您可能不很瞭解上述名詞，以下對各種名詞加以解釋並說明它們之間的區別。

HTML(Hypertext Markup Language)是一種超文本標識語言，文件通過這種格式可以在互連網上載送瀏覽，用戶只要使用網頁瀏覽器工具就可以瀏覽這些文件，目前比較常用的工具包括Microsoft Internet Explorer，Netscape Communicator等，由於HTML文件都是由標籤(tag)所組成，因此它比較適合製作靜態網頁，再者，由於先天上的限制HTML是無法直接存取數據庫的，所以存取數據庫的工作大多是依靠CGI來處理。ASP不但可以包含HTML標籤，也可以直接存取數據庫及使用無限擴充的ActiveX控件，因此在程序編制上要比HTML方便而且更富有靈活性。

簡單講，ASP是位於服務器端的腳本運行環境，通過這種環境，用戶可以創建和運行動態的交互式 Web 服務器應用程序，如交互式的動態網頁，包括使用 HTML 表單收集和處理信息，上傳與下載等等，就像用戶在使用自己的CGI程序一樣。但是他比CGI簡單。更重要的是，ASP使用的ActiveX技術基於開放設計環境，用戶可以自己定義和製作組件加入其中，使自己的動態網頁幾乎具有無限的擴充能力，這是傳統的CGI等程序所遠遠不及的地方。使用ASP還有個好處，就在於ASP可利用ADO(Active Data Object，微軟的一種新的數據訪問模型，類似於DAO)方便地訪問數據庫，從而使得開發基於WWW的應用系統成為可能。

9.3.1𨪜 ASP漏洞分析和解決方法

ASP的漏洞已經算很少的了，想要找到數據庫的實際位置也不簡單，但這不表明黑客無孔可入，也正是這個觀點，一般的程序設計員常常忘記仔細的檢查是否有漏洞，所以才有可能導致網站資料被竊取的事件發生。

ASP裡面含有一個安全漏洞，就是在/site/eg/source.asp這個隨軟件一起銷售的範例程序，裡面的內容有教使用者如何在服務器的這個目錄下隨意寫入檔案。解決這個漏洞的方法是建議刪除所有軟件提供的範例程序。

1.Code.asp文件會洩漏ASP代碼

舉個很簡單的例子，在微軟提供的 ASP1.0 的例程裡有一個.asp文件 ，專門用來查看其它.asp文件的源代碼，該文件為 ASPSamp/Samples/code.asp。如果有人把這個程序上傳到服務器，而服務器端沒有任何防範措施的話，他就可以很容易地查看他人的程序。例如：

code.asp source=/directory/file.asp

不過這是個比較舊的漏洞了，相信現在很少會出現這種漏洞。

下面這命令是比較新的：

http://someurl/iissamples/exair/howitworks/code.asp/lunwen/soushuo.asp=xxx.asp

最大的危害莫過於ASP文件可以被上述方式讀出；數據庫密碼以明文形式暴露在黑客眼前；

問題解決或建議 ：

對於IIS自帶的show ASP code的ASP程序文件，刪除該文件或者禁止訪問該目錄即可。

2.filesystemobject 組件篡改下載FAT分區上的任何文件的漏洞

IIS3、IIS4的ASP的文件操作都可以通過Filesystemobject實現，包括文本文件的讀寫目錄操作、文件的拷貝改名刪除等，但是這個強大的功能也留下了非常危險的「後門」。利用Filesystemobjet可以篡改下載FAT分區上的任何文件。即使是NTFS分區，如果權限沒有設定好的話，同樣也能破壞，一不小心你就可能遭受「滅頂之災」。遺憾的是很多Webmaster只知道讓Web服務器運行起來，很少對NTFS進行權限 設置，而NT目錄權限的默認設置偏偏安全性又低得可怕。因此，如果你是Webmaster，建議你密切關注服務器的設置，盡量將Web目錄建在NTFS分區上，目錄不要設定Everyone Full Control，即使是是管理員組的成員一般也沒什麼必要Full Control，只要有讀取、更改權限就足夠了。也可以把Filesystemobject的組件刪除或者改名。

3.輸入標準的HTML語句或者javascript語句會改變輸出結果

在輸入框中輸入標準的HTML語句會得到什麼相的結果呢？

比如一個留言本，我們留言內容中輸入：

<font size=10>你好！</font>

如果你的ASP程序中沒有屏蔽HTML語句，那麼就會改變「你好」字體的大小。在留言本中改變字體大小和貼圖有時並不是什麼壞事，反而可以使留言本生動。但是如果在輸入框中寫個javascript 的死循環，比如：<a herf=」http://someurl「 onMouseover=」while(1)「>特大新聞</a>

那麼其他查看該留言的客人只要移動鼠標到」特大新聞「，上就會使用戶的瀏覽器因死循環而死掉。

解決方法和建議 ：

編寫類似程序時應該做好對此類操作的防範，譬如可以寫一段程序判斷客戶端的輸入，並屏蔽掉所有的 HTML、 JavaScrip。

4.Access MDB數據庫有可能被下載的漏洞

問題描述 ：

在用Access做後台數據庫時，如果有人通過各種方法知道或者猜到了服務器的Access數據庫的路徑和數據庫名稱，那麼他能夠下載這個Access數據庫文件，這是非常危險的。比如:如果你Access數據庫book.mdb放在虛擬目錄下的database目錄下，那麼有人在瀏覽器中輸入：

http:// someurl/database/book.mdb

如果你的book.mdb數據庫沒有事先加密的話，那book.mdb中所有重要的數據都掌握在別人的手中。
webasp.net