|
淺談ＡＳＰ技術(shù)的安全
（作者未知） 2011/6/22
（接上頁）guest帳號。并且不能把sa帳號的密碼寫在應(yīng)用程序或者腳本中。其次，應(yīng)加強數(shù)據(jù)庫訪問日志的監(jiān)視，定期備份數(shù)據(jù)庫。同時，制訂完整的數(shù)據(jù)庫備份策略，在必要的時候能夠?qū)崿F(xiàn)對數(shù)據(jù)庫的恢復(fù)。
（3）屏蔽數(shù)據(jù)庫路徑信息。為防止數(shù)據(jù)庫路徑和名稱隨ASP源代碼失密而失密，常使用ODBC數(shù)據(jù)源。使用ODBC數(shù)據(jù)源連接數(shù)據(jù)庫的命令是Conn.open “DSN名”。
二、WEB服務(wù)器的安全
Asp技術(shù)中常用微軟自帶的IIS架設(shè)WEB服務(wù)器。WEB服務(wù)器的安全包括了系統(tǒng)的安全和IIS的安全。
1．系統(tǒng)的安全：
（1）目錄文件的保護：NTFS權(quán)限。NTFS文件系統(tǒng)提供了比Fat32更為安全的文件管理方式，它通過文件訪問控制表（ACL）定義了用戶訪問文件和目錄的權(quán)限級別，如果用戶具有打開文件的權(quán)限，計算機則允許該用戶訪問文件。通過設(shè)定目錄和文件的訪問權(quán)限，禁止無關(guān)用戶對目錄文件進行復(fù)制、修改、刪除等操作，限制對系統(tǒng)的入侵。
（2）防火墻技術(shù)�？梢愿鶕�(jù)WEB服務(wù)器的應(yīng)用范圍，決定防火墻的位置。
（3）審核與監(jiān)視技術(shù)。安全審核負責(zé)監(jiān)視系統(tǒng)中各種與安全有關(guān)的事件，生成安全日志，并提供查看安全日志的方法。通過分析安全日志，可以發(fā)現(xiàn)并阻止各種危及系統(tǒng)安全的行為。除了安全日志，系統(tǒng)日志和應(yīng)用程序日志也是很好的監(jiān)視工具，它們記錄了用戶自登錄開始直到退出的整個操作過程，為網(wǎng)絡(luò)安全分析提供可靠的依據(jù)。
（4）關(guān)閉不用的服務(wù)和協(xié)議，堵上系統(tǒng)的漏洞和后門。“盡量少開沒用到的服務(wù)”，如果開啟了某個服務(wù)，就要提防該服務(wù)可能引起的漏洞。同時要定期下載操作系統(tǒng)、IIS、ASP和DBMS最新漏洞的補丁，將可能發(fā)生的安全隱患減到最少。
2．IIS的安全
（1）不要將IIS安裝在系統(tǒng)分區(qū)上
默認情況下，IIS與操作系統(tǒng)安裝在同一個分區(qū)中，這是一個潛在的安全隱患。因為一旦入侵者繞過了IIS的安全機制，就有可能入侵到系統(tǒng)分區(qū)。如果管理員對系統(tǒng)文件夾、文件的權(quán)限設(shè)置不是非常合理，入侵者就有可能篡改、刪除系統(tǒng)的重要文件，或者利用一些其他的方式獲得權(quán)限的進一步提升。將IIS安裝到其他分區(qū)，即使入侵者能繞過IIS的安全機制，也很難訪問到系統(tǒng)分區(qū)
（2）修改IIS的安裝默認路徑
IIS的默認安裝的路徑是\inetpub，Web服務(wù)的頁面路徑是\inetpub\wwwroot，這是任何一個熟悉IIS的人都知道的，入侵者也不例外，使用默認的安裝路徑無疑是告訴了入侵者系統(tǒng)的重要資料，所以需要更改。
（3）刪除危險的IIS組件
默認安裝后的有些IIS組件可能會造成安全威脅，例如 Internet服務(wù)管理器(HTML)、SMTP Service和NNTP Service、樣本頁面和腳本，大家可以根據(jù)自己的需要決定是否刪除。
三、結(jié)束語
Asp環(huán)境下的安全問題應(yīng)從系統(tǒng)的全局進行分析和考慮，既要保證系統(tǒng)安全，又要取得良好的系統(tǒng)性能。本文從服務(wù)器端、、Asp程序設(shè)計兩個方面對Asp安全技術(shù)進行分析和總結(jié)，但隨著新的攻擊手段和方法不斷涌現(xiàn)，要構(gòu)建一個面面俱到的安全體系是很困難的，因為一種技術(shù)只能解決一或幾個方面的問題。因此，Asp的安全應(yīng)側(cè)重于預(yù)防，規(guī)范自己的編程習(xí)慣，及時地堵上系統(tǒng)漏洞，定期進行風(fēng)險評估，安裝入侵檢測系統(tǒng)等預(yù)防措施能及時有效地進行入侵防范。
參考文獻
[1]陳婧，等.基于ASP技術(shù)的MIS安全機制研究[J].情報雜志，2003，(8).[2]華軍，等.基于ASP技術(shù)網(wǎng)站建設(shè)的安全性研究[J].計算機工程和應(yīng)用，2003，(33)。
|