ASP網(wǎng)站設(shè)計(jì)及網(wǎng)站建設(shè)

ASP網(wǎng)站設(shè)計(jì)及網(wǎng)站建設(shè)

1.?優(yōu)秀的網(wǎng)絡(luò)資源，穩(wěn)定的網(wǎng)站和速度保證
?（配送雙線獨(dú)立ip空間，國際A級(jí)BGP機(jī)房，99.5% 的主機(jī)在線時(shí)間）

2. 7年北京高端網(wǎng)站建設(shè)公司經(jīng)驗(yàn)，優(yōu)秀的技術(shù)和設(shè)計(jì)水平，更放心
3. 全程省心服務(wù)，不必?fù)?dān)心自己不懂網(wǎng)絡(luò)，更省心。
------------------------------------------------------------

附注：網(wǎng)站的內(nèi)容及欄目可根據(jù)企業(yè)的不同要求做適當(dāng)?shù)恼{(diào)整。假如要建設(shè)更大型的網(wǎng)站，我們會(huì)根據(jù)網(wǎng)站的具體分析而另外報(bào)價(jià)。全FLASH網(wǎng)站將根據(jù)網(wǎng)站的美工及動(dòng)畫的實(shí)現(xiàn)難易度來衡量報(bào)價(jià)，最低1萬5千元起。歡迎致電咨詢！?

北京高端網(wǎng)站建設(shè)公司，北京高端網(wǎng)站設(shè)計(jì)公司，高端網(wǎng)站做網(wǎng)站哪里好，哪里做高端網(wǎng)站好？北京傳誠信廣告有限公司是你做好的選擇！24小時(shí)聯(lián)系電話：01062199213

???? 如需英文版網(wǎng)站建設(shè)，加收50%的費(fèi)用，
???? 請(qǐng)咨詢傳誠信客服人員010-62199213（全新全意為您服務(wù)）。

-------------------------------------------------------------------------------------
ASP注入應(yīng)用漏洞解決方法

1、ASP程序連接 SQL Server 的賬號(hào)不要使用sa，或任何屬于Sysadmin組的賬號(hào)，盡量避免應(yīng)用服務(wù)有過高的權(quán)限，應(yīng)使用一個(gè)db_owner權(quán)限的一般用戶來連接數(shù)據(jù)庫。

2、WEB應(yīng)用服務(wù)器與DB服務(wù)器分別使用不同的機(jī)器來存放，并且之間最好通過防火墻來進(jìn)行邏輯隔離，因?yàn)槌擞谐绦蛟谔綔y(cè) sa 沒密碼的SQL Server，SQL Server 本身及大量的擴(kuò)展存儲(chǔ)過程也有被溢出攻擊的危險(xiǎn)。

3、數(shù)據(jù)庫服務(wù)器盡量不要與公網(wǎng)進(jìn)行連接，如果一定要直接提供公網(wǎng)的連接存儲(chǔ)，應(yīng)考慮使用一個(gè)非標(biāo)準(zhǔn)端口并限制IP地址來進(jìn)行連接。

4、SA一定要設(shè)成強(qiáng)悍的密碼，尤其是SQL Server 2000以前的版本，在默認(rèn)安裝Sql時(shí)sa賬號(hào)沒有密碼，而一般管理員裝完后也忘了或怕麻煩而不更改密碼。

5、改掉缺省的Web虛擬路徑，不要使用IIS裝好后預(yù)設(shè)的<系統(tǒng)盤>\Inetpub\WWWRoot路徑，否則利用前面敘述的另存為方式，很容易在該目錄下動(dòng)手腳。

6、將平時(shí)不使用的但功能強(qiáng)大的擴(kuò)展存儲(chǔ)過程刪除。

7、使用網(wǎng)絡(luò)和主機(jī)IDS來監(jiān)控重要系統(tǒng)的運(yùn)行狀況。

8、隨時(shí)注意是否有新的補(bǔ)丁需要補(bǔ)上，目前SQL2000最新的補(bǔ)本包為SP4。

9、盡量的利用ASP 或者 ASP.NET 在服務(wù)器端檢查與限制輸入變量的類型與長度，過濾掉不需要的內(nèi)容。要注意的是這些檢查不只是要放在前端，后端也要檢測(cè)。 在前端利用Html Input 標(biāo)簽的MaxLength屬性來限制輸入長度，或是以Js cript編寫程序來限定文本域的長度，但是只要將該網(wǎng)頁另存為，修改內(nèi)容后(一般只要改寫Form的Action屬性以及Input的MaxLength屬性)，重新用瀏覽器打開更改過后的頁面就可以躲過這些瀏覽器前端的檢查。

10、使用容錯(cuò)語句，不要顯示錯(cuò)誤信息到前端，利用VBs cript語法的On Error Resume Next來屏蔽SQL的出錯(cuò)提示，并搭配If Err.Number<>0 Then的錯(cuò)誤處理方式，自行將錯(cuò)誤重定向到適當(dāng)?shù)腻e(cuò)誤處理網(wǎng)頁，如此系統(tǒng)將更穩(wěn)固，且黑客也不容易透過錯(cuò)誤信息來探知系統(tǒng)的內(nèi)部運(yùn)作方式。或者，也可以修改<系統(tǒng)盤>\Winnt\Help\iisHelp\common\500-100.html/web/asp" target="_blank">asp預(yù)設(shè)網(wǎng)頁，最簡單的方式就是將它改名。例：

on error resume next
sql2="select * from dv_admin where username='"&ReqStr("username")&"'"
?

11、使用過濾和防注入函數(shù)來過濾掉一些特殊的字符，防注入函數(shù)示例：

'----------------------------------- ----------------------------
Function ReqNum ( StrName ) /* 數(shù)值型變量過濾 */
ReqNum = Request ( StrName )
if Not isNumeric ( ReqNum ) then
Response.Write "參數(shù)必須為數(shù)字型!" Response.End
End if
End Function
Function ReqStr ( StrName ) /*字符型和搜索型過濾 */
ReqStr = Replace ( Request(StrName), "'", "''" ) /* 用replace函數(shù)屏蔽單引號(hào) */
End Function
以下三句SQL語句，說明一下調(diào)用方法：

1.SQL="select * from dv_admin where username=" & ReqNum("username")2.SQL="select * from
dv_admin where username ='" &

ReqStr(" username ") & "'" 3.SQL="select * from username where UserName like '%" & ReqStr
(" username ") & "%'"

12、若想更換SQL Server 的執(zhí)行服務(wù)賬號(hào),則該帳號(hào)需要以下的權(quán)限：

Log On Locally
Log On as a Batch
Access this computer from the Network
Log on as service
Replace a process level token
Act as part of the operating system
Increase quotas
?

13、使用Microsoft基線安全性分析器（MBSA）來評(píng)估服務(wù)器的安全性，并按照它的建議來更改系統(tǒng)的設(shè)定。

MBSA 是一個(gè)掃描多種Microsoft產(chǎn)品的不安全配置的工具，包括SQL Server和Microsoft SQL Server 2000 Desktop Engine(MSDE 2000)。它可以在本地運(yùn)行，也可以通過網(wǎng)絡(luò)運(yùn)行。

該工具針對(duì)下面問題對(duì)SQL Server安裝進(jìn)行檢測(cè)：

(1) 過多的sysadmin固定服務(wù)器角色成員。 　　

(2) 授予sysadmin以外的其他角色創(chuàng)建CmdExec作業(yè)的權(quán)利。 　　

(3) 空的或簡單的密碼。 　　

(4) 脆弱的身份驗(yàn)證模式。 　　

(5) 授予管理員組過多的權(quán)利。 　　

(6) SQL Server數(shù)據(jù)目錄中不正確的訪問控制表(ACL)。 　　

(7) 安裝文件中使用純文本的sa密碼。 　　

(8） 授予guest帳戶過多的權(quán)利。 　　

(9) 在同時(shí)是域控制器的系統(tǒng)中運(yùn)行SQL Server。 　　

(10) 所有人（Everyone）組的不正確配置，提供對(duì)特定注冊(cè)表鍵的訪問。 　　

(11) SQL Server 服務(wù)帳戶的不正確配置。 　　

(12) 沒有安裝必要的服務(wù)包和安全更新。

?

?