最近我负责了公司的程序安全管理 但是以前对于安全这一块并不是研究很深 想在这里 和朋友们共同探讨下 我认为想要能够防范网站的危险 那就要先知道网站攻击有哪些方法 在这里 我想先写出来一些我知道的 然后希望朋友们能够给补充 本帖 先只列出来 攻击的方法（概要） 等基本全面了 再逐个的研究他的攻击具体方法 以及防范方法吧。。。希望大家能够支持我 在这里先谢谢了 。。。。

ASP网站入侵方法（概述）
1、用户名与口令被破解
2、验证被绕过
3、inc文件泄露问题
4、自动备份被下载
5、特殊字符
6、数据库下载漏洞
7、远程注入攻击
8、ASP木马（利用文件上传）

不知道 还有没有其他的方法呢？不全的地方希望朋友们发帖上来啦~~~

[此贴子已经被作者于2007-9-5 16:07:01编辑过]

据我所知还有Cookie入侵，前提是网站使用Cookie保存账号和密码。

解决方案

1、用户名与口令被破解 ：用户名和口令字段打破传统方式命名，口令采用MD5加密
2、验证被绕过 ：才用javascript和asp双方验证
3、inc文件泄露问题 ：给INC文件设置读取权限，或者放到数据库文件夹
4、自动备份被下载 ：自动备份要看你备份的是什么类型数据库，只要不是access 基本上不会被下载
5、特殊字符 ：可以使用防注入来拦截特殊字符，或者使用过滤方式将特殊字符替换
6、数据库下载漏洞 ：同第4道问题答案
7、远程注入攻击 ：同第5道问题答案
8、ASP木马（利用文件上传）：给FSO设置权限，有必要的话，可以关闭FSO组件
9、Cookie入侵 ：不使用Cookie记录用户资料，采用session 保存资料，系统默认20分钟，可以设置更长

总结起来就这些吗 还有其他的吗？同时希望大家给说说sql注入方面的 因为我认为sql注入这部分还是比较重要的也是比较难防的 我公司一个网站的config.asp包含文件就被人修改了添加了牛逼的木马程序能够实现完全的对服务器操作 可是并没有上传功能啊 前台 不知道是如何做到的 请大家给分析下

在conn.asp里，连接数据库之前加上个通用的防注入代码

然后将FSO组件设置个权限 量他有再大的本事也无法动你网站文件一根毫毛

能否把你的防注入程序 发上来我看看啊？ 希望是比较全面的

'防止注入
dim qs,errc,iii
qs=request.servervariables("query_string")
dim deStr(18)
deStr(0)="net user"
deStr(1)="xp_cmdshell"
deStr(2)="/add"
deStr(3)="exec%20master.dbo.xp_cmdshell"
deStr(4)="net localgroup administrators"
deStr(5)="select"
deStr(6)="count"
deStr(7)="asc"
deStr(8)="char"
deStr(9)="mid"
deStr(10)="'"
deStr(11)=":"
deStr(12)=""""
deStr(13)="insert"
deStr(14)="delete"
deStr(15)="drop"
deStr(16)="truncate"
deStr(17)="from"
deStr(18)="%"
errc=false
for iii= 0 to ubound(deStr)
if instr(qs,deStr(iii))<>0 then
errc=true
end if
next
if errc then
response.redirect "对不起，请不要对本站使用非法攻击"
response.end
end if

request.servervariables("query_string")
这个是什么意思为什么这么写？难道都要取吗？
<%=Request.ServerVariables("ALL_HTTP")%>
<%=Request.ServerVariables("AUTH_PASS")%>
<%=Request.ServerVariables("AUTH_TYPE")%>
<%=Request.ServerVariables("CONTENT_LENGTH")%>
<%=Request.ServerVariables("CONTENT_TYPE")%>
<%=Request.ServerVariables("GATEWAY_INTERFACE")%>
<%=Request.ServerVariables("PATH_INFO")%>
<%=Request.ServerVariables("PATH_TRANSLATED")%>
<%=Request.ServerVariables("QUERY_STRING")%>
<%=Request.ServerVariables("REMOTE_ADDR")%>
<%=Request.ServerVariables("REMOTE_HOST")%>
<%=Request.ServerVariables("REMOTE_IDENT")%>
<%=Request.ServerVariables("REMOTE_USER")%>
<%=Request.ServerVariables("REQUEST_BODY")%>
<%=Request.ServerVariables("REQUEST_METHOD")%>
<%=Request.ServerVariables("SCRIPT_NAME")%>
<%=Request.ServerVariables("SERVER_NAME")%>
<%=Request.ServerVariables("SERVER_PORT")%>
<%=Request.ServerVariables("SERVER_PROTOCOL")%>
<%=Request.ServerVariables("SERVER_SOFTWARE")%>

request.servervariables("query_string")
这句的意思是取得提交的地址问号后面的字符串
比如：
地址为：http://bbs.bc-cn.net/viewthread.php?tid=167885
则request.ServerVariables("QUERY_STRING")的值为：boardID=10&ID=167885&page=1

就算使用无组件上传类，如果有文件类型验证漏洞，就可以上传ASP木马文件，上传文件的文件类型验证代码一定要严密。过滤到诸如\0之类的标志，阻止如"C:\xxxx\xxx\xxx.asp\0.jpg"这类路径。