静怡家园

　在设计或者维护 Web 网站时，你也许担心它们会受到某些卑鄙用户的恶意攻击。的确，如今的 Web 网站开发者们针对其站点所在操作系统平台或Web 服务器的安全性而展开的讨论实在太多了。不错，IIS 服务器的安全漏洞可能招致恶意攻击；但你的安全检查清单不应该仅仅有 IIS 安全性这一条。有些代码，它们通常是专门为数据驱动(data-driven) 的 Web 网站而设计的，实际上往往同其它 IIS 漏洞一样存在严重的安全隐患。这些潜伏于代码中的安全隐患就有可能被称为“SQL 指令植入式攻击” (SQL injection) 的手段所利用而导致服务器受到攻击。
　　SQL 指令植入式攻击技术使得攻击者能够利用 Web 应用程序中某些疏于防范的输入机会动态生成特殊的 SQL 指令语句。举一个常见的例子：
　　某 Web 网站采用表单来收集访问者的用户名和密码以确认他有足够权限访问某些保密信息，然后该表单被发送到 Web 服务器进行处理。接下来，服务器端的ASP 脚本根据表单提供的信息生成 SQL 指令语句提交到 SQL 服务器，并通过分析 SQL 服务器的返回结果来判断该用户名/密码组合是否有效。
　　为了实现这样的功能，Web 程序员可能会设计两个页面：一个 HTML 页面 (Login.htm) 用于登录，另一个ASP 页面 (ExecLogin.asp) 用于验证用户权限(即向数据库查询用户名/密码组合是否存在)。具体代码可能象这样：
Login.htm (HTML 页面) 代码:
<form action="ExecLogin.asp" method="post">
Username: <input type="text" name="txtUsername"><br>
Password: <input type="password" name="txtPassword"><br>
<input type="submit"> </form>

ExecLogin.asp (ASP 页面) 代码:
<%
Dim p_strUsername, p_strPassword, objRS, strSQL
p_strUsername = Request.Form("txtUsername")
p_strPassword = Request.Form("txtPassword")
strSQL = "Select * FROM tblUsers " & _ "Where Username=" & p_strUsername & _ " and Password=" & p_strPassword & ""
Set objRS = Server.CreateObject("ADODB.Recordset")
objRS.Open strSQL, "DSN=..."
If (objRS.EOF) Then
Response.Write "Invalid login."
Else
Response.Write "You are logged in as " & objRS("Username")
End If
Set objRS = Nothing
%>
　　乍一看，ExecLogin.asp 的代码似乎没有任何安全漏洞，因为用户如果不给出有效的用户名/密码组合就无法登录。然而，这段代码偏偏不安全，而且它正是SQL 指令植入式攻击的理想目标。具体而言，设计者把用户的输入直接用于构建SQL 指令，从而使攻击者能够自行决定即将被执行的 SQL 指令。例如：攻击者可能会在表单的用户名或密码栏中输入包含“ or ”和“=” 等特殊字符。于是，提交给数据库的 SQL 指令就可能是：代码:Select * FROM tblUsers Where Username= or = and Password = or =
　　这样，SQL 服务器将返回 tblUsers 表格中的所有记录，而 ASP 脚本将会因此而误认为攻击者的输入符合 tblUsers 表格中的第一条记录，从而允许攻击者以该用户的名义登入网站。
　　SQL 指令植入式攻击还有另一种形式，它发生在 ASP 服务器根据 querystring 参数动态生成网页时。这里有一个例子，此 ASP 页面从 URL 中提取出 querystring 参数中的 ID 值，然后根据 ID 值动态生成后继页面：
代码:
<% Dim p_lngID, objRS, strSQL
p_lngID = Request("ID")
strSQL = "Select * FROM tblArticles Where ID=" & p_lngID
Set objRS = Server.CreateObject("ADODB.Recordset")
objRS.Open strSQL, "DSN=..."
If (Not objRS.EOF) Then Response.Write objRS("ArticleContent")
Set objRS = Nothing
%>
　　在一般情况下，此 ASP 脚本能够显示具有特定 ID 值的文章的内容，而 ID 值是由 URL 中的 querystring 参数指定的。例如：当URL为 http://www.example.com/Article.asp?ID=1055 时，ASP 就会根据 ID 为 1055 的文章提供的内容生成页面。
　　如同前述登录页面的例子一样，此段代码也向SQL 指令植入式攻击敞开了大门。某些恶意用户可能会把 querystring 中的文章 ID 值偷换为“0 or 1=1”等内容(也就是说，把 URL 换成 http://www.example.com/Article.asp?ID=0 or 1=1) 从而诱使 ASP 脚本生成不安全的 SQL 指令如：
代码:Select * FROM tblArticles Where ID=0 or 1=1
　　于是，数据库将会返回所有文章的内容。
　　当然了，本例服务器所受的攻击不一定会引起什么严重后果。可是，攻击者却可能变本加厉，比如用同样的手段发送 Delete 等 SQL 指令。这只需要简单地修改前述 URL 中的 querystring 参数就可以了！例如：任何人都可以通过 “http://www.example.com/Article.asp?ID=1055; Delete FROM tblArticles ” 之类的 URL 来访问 Web 网站。
　　SQL 指令植入式攻击的危害
　　SQL 指令植入式攻击可能引起的危害取决于该网站的软件环境和配置。当 Web 服务器以操作员(dbo)的身份访问数据库时，利用SQL 指令植入式攻击就可能删除所有表格、创建新表格，等等。当服务器以超级用户 (sa) 的身份访问数据库时，利用SQL 指令植入式攻击就可能控制整个 SQL 服务器；在某些配置下攻击者甚至可以自行创建用户帐号以完全操纵数据库所在的 Windows 服务器。
　　杜绝SQL 指令植入式攻击
　　杜绝SQL 指令植入式攻击的第一步就是采用各种安全手段监控来自 ASP request 对象 (Request 、 Request.QueryString 、 Request.Form 、 Request.Cookies 和 Request.ServerVariables) 的用户输入，以确保 SQL 指令的可靠性。具体的安全手段根据你的 DBMS 而异，下面给出的都是基于 MS SQL Server的例子。
　　在前述登录页面的例子中，脚本期望得到的两个输入变量 (txtUserName 和 txtPassword)均为字符串类型。无论用户在哪个参数中插入单引号，他都可能让数据库执行单引号中的 SQL 指令。为了杜绝此类SQL 指令植入式攻击，我们可以借助 Replace 函数剔除单引号，比如：
　　代码:p_strUsername = Replace(Request.Form("txtUsername"), "'", "")
　　p_strPassword = Replace(Request.Form("txtPassword"), "'", "")
　　在第二个例子中，脚本期望的输入变量是长整型变量 (ID) 。用户可以通过在 ID 参数中插入特殊字符来运行不安全的 SQL 指令。为了为了杜绝此类SQL 指令植入式攻击，我们只需要借助 CLng 函数限制 ID 值为长整型变量，比如：
代码:p_lngID = CLng(Request("ID"))
　　当用户试图在 ID 中包含特殊字符时，CLng 就会产生一个错误。
　　为了进一步减少SQL 指令植入式攻击的危胁，请务必清除客户端错误信息文本中的所有技术资料。某些错误信息往往泄露了技术细节，从而让攻击者可以看出服务器的安全漏洞所在。这里指的错误信息不但包括应用程序生成的消息框，还包括来自 IIS 的出错提示。为此，你可以禁止由 IIS 发送的详细错误信息，而改用自定义的出错页面。(关于创建自定义的出错页面的更多信息，请务必参阅 《Creating Custom ASP Error Pages》。)
　　最后，为了减轻SQL 指令植入式攻击的危害，请限制 Web 应用程序所用的数据库访问帐号权限。一般来说，应用程序没有必要以 dbo 或者 sa 的身份访问数据库。记住，给它的权限越少，你的网站越安全！你还可以考虑分别给每个需要访问数据库的对象分配只拥有必需权限的帐号，以分散安全漏洞。例如：同是前端用户界面，当用于公共场所时就比用于具有本地内容管理机制的平台时更加需要严格限制数据库访问权限。

相关资料
　　在 Internet 上有许许多多关于本话题的有用资源。我想下列连接可能会对你有所帮助：
* SQL Injection FAQ (http://www.sqlsecurity.com/)
* Advanced SQL Injection White Paper (http://www.nextgenss.com/research.html)
* Preventing SQL Injection
http://www.owasp.org/asac/input_validation/sql.shtml)

<%
set con=server.CreateObject("ADODB.Connection")
strConnection="Data Source=xxxxxxx;"
con.Open strConnection

set rs = Server.CreateObject("ADODB.Recordset")
chartSQL="select ID,name,category_one from goods "
rs.Open chartSQL,con,1,3
if rs.EOF or rs.BOF then '如果为空
response.end
end if
pagesize=10 '每页显示10条记录
pagecuont=rs.PageCount '总页数
recordcount=rs.RecordCount
dim pagenum '当前页码
dim currentRecord '当前页的记录数,对于末页其值不等于pagesize
if Request.QueryString ("pageNum")="" then
pageNum=1
else
pageNum=Request.QueryString ("pageNum")
rs.AbsolutePage =trim(Request.QueryString ("pageNum"))
end if
%>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<meta name="GENERATOR" content="Microsoft FrontPage 4.0">
<meta name="ProgId" content="FrontPage.Editor.Document">
<title>New Page 1</title>
<SCRIPT LANGUAGE=javascript>
<!--
function openwindow(url){
window.open(url,'','resizable=no,width=240,height=160,fullscreen=yes')
}
//-->
</SCRIPT>
<link rel="stylesheet" href="file:///F|/mysourceof17560/CSS.CSS" type="text/css">
</head>
<body bgcolor=#999999>
<p align="center">商品修改页面</p>
<table border="1" width="100%" cellpadding="0" cellspacing="0" bordercolordark="#999999" bordercolorlight="#000000">
<tr>
<td width="10%">
<div align="center">编号　</div>
</td>
<td width="63%">
<div align="center">商品名　</div>
</td>
<td width="14%">　
<div align="center">主分类</div>
</td>
<td width="13%">
<div align="center">操作　</div>
</td>
</tr>
<%
for i=1 to rs.PageSize
if rs.EOF or rs.BOF then '本条件判断是否到了尽头
exit for
end if
%>
<tr>
<td width="10%" align=center><%=rs("ID")%></td>
<td width="63%" align=center><%=rs("name")%>　</td>
<td width="14%" align=center><%=rs("category_one")%> </td>
<td width="13%">
<div align="center">
<INPUT type="button" value="Button" id=button1 name=button1
onclick="javascript:window.open('tomodify.asp?id=<%=rs("ID")%>&zfenlei=<%=rs("category_one")%>','','resizable=no,width=240,height=160')">
　</div>
</td>
</tr>
<%
currentRecord=currentRecord+1 '取的当前页的记录数
rs.MoveNext
next
rs.Close
%>
</table>
<div align="center" class="bfont">合计<%=recordCount%> 条记录 | 第
<%
pageNum_record=(pageNum-1)*pageSize+1 '初始记录位置
pageNum_record_=pageNum_record+currentRecord-1 '末记录位置
Response.Write pageNum_record
%>
-<%=pageNum_record_%>条 | 第<%=pageNum%>页 |共<%=pagecuont%>页
<%
if pagecuont >0 then '防止当前返回的为空记录，即数据库中该数据集为空
if pageNum > 1 then %>
<a href="modifychart.asp?pageNum=1"> <font color="#FFFFFF">首页</font></a>
<%
else Response.Write "首页"
end if
if pageNum > 10 then
'如有需要，请在这里添上如果不足10页时该实现前n页的代码，
'请参考下面的如果后面不足10页时该怎么样处理的代码和思路
%>
<a href="modifychart.asp?pageNum=<%=(pageNum-10)%>"> <font color="#FFFFFF">前10页</font></a>
<%
end if
if (pageNum+10) < pagecuont then
'这里也相同参考下面的思路
%>
<a href="modifychart.asp?pageNum=<%=(pageNum+10)%>"> <font color="#FFFFFF">下10页</font></a>
<%
end if
if (pageNum+10) < pagecuont then
'这里判断后面是否还有10页
endpage=pageNum+9
else
endpage=pageCount
end if
for i=pageNum to endPage
%>
<a href="modifychart.asp?pageNum=<%=i%>">第<%=i%>页</a>
<%
next
if pageNum <> pageCount then
%>
<a href="modifychart.asp?pageNum=<%=pagecuont%>"> <font color="#FFFFFF">末页</font></a>
<%
end if
end if 'end of --->if pageCount >0 then
%>
</div>
</body>
</html>

关于随机数，请参看以下资料：
　　Rnd 函数
　　描述
　　返回一个随机数。
　　语法
　　Rnd[(number)]
　　number 参数可以是任意有效的数值表达式。
　　说明
　　Rnd 函数返回一个小于 1 但大于或等于 0 的值。 number 的值决定了 Rnd 生成随机数的方式：
　　如果 number 为 Rnd 生成
　　小于零 每次都相同的值，使用 number 作为种子。
　　大于零 序列中的下一个随机数。
　　等于零 最近生成的数。
　　省略 序列中的下一个随机数。
　　因每一次连续调用 Rnd 函数时都用序列中的前一个数作为下一个数的种子，所以对于任何最初给定的种子都会生成相同的数列。
　　在调用 Rnd 之前，先使用无参数的 Randomize 语句初始化随机数生成器，该生成器具有基于系统计时器的种子。
　　要产生指定范围的随机整数，请使用以下公式：
　　Int((upperbound - lowerbound + 1) * Rnd + lowerbound)
　　这里， upperbound 是此范围的上界，而 lowerbound 是此范围内的下界。
　　注意 要重复随机数的序列，请在使用数值参数调用 Randomize 之前，立即用负值参数调用 Rnd。使用同样 number 值的 Randomize 不能重复先前的随机数序列。

11.有没有办法保护自己的源代码，不给人看到
答：可以去下载一个微软的Windows Script Encoder，它可以对asp的脚本和客户端javascript/vbscript脚本进行加密。。。不过客户端加密后，只有ie5才能执行，服务器端脚本加密后，只有服务器上安装有script engine 5（装一个ie5就有了）才能执行。
12.怎样才能将 query string 从一个 asp 文件传送到另一个？
答：前者文件加入下句： Response.Redirect("second.asp?" & Request.ServerVariables("QUERY_STRING"))
13.global.asa文件总是不起作用?
答：只有web目录设置为web application, global.asa才有效，并且一个web application的根目录下 global.asa才有效。IIS4可以使用Internet Service Manager设置application setting 怎样才能使得htm文件如同asp文件一样可以执行脚本代码？
14.怎样才能使得htm文件如同asp文件一样可以执行脚本代码？
答：Internet Sevices Manager - > 选择default web site - >右鼠键- >菜单属性-〉主目录- > 应用程序设置（Application Setting）- > 点击按钮 "配置"- > app mapping - >点击按钮"Add" - > executable browse选择 \WINNT\SYSTEM32\INETSRV\ASP.DLL EXTENSION 输入 htm method exclusions 输入PUT.Delete 全部确定即可。但是值得注意的是这样对htm也要由asp.dll处理，效率将降低。
15.如何注册组件
答：有两种方法。
第一种方法：手工注册 DLL 这种方法从IIs 3.0一直使用到IIs 4.0和其它的Web Server。它需要你在命令行方式下来执行，进入到包含有DLL的目录，并输入：regsvr32 component_name.dll 例如 c:\temp\regsvr32 AspEmail.dll 它会把dll的特定信息注册入服务器中的注册表中。然后这个组件就可以在服务器上使用了，但是这个方法有一个缺陷。当使用这种方法注册完毕组件后，该组件必须要相应的设置NT的匿名帐号有权限执行这个dll。特别是一些组件需要读取注册表，所以，这个注册组件的方法仅仅是使用在服务器上没有MTS的情况下，要取消注册这个dll，使用：regsvr32 /u aspobject.dll example c:\temp\regsvr32 /u aneiodbc.dll
第二种方法：使用MTS(Microsoft Transaction Server) MTS是IIS 4新增特色，但是它提供了巨大的改进。MTS允许你指定只有有特权的用户才能够访问组件，大大提高了网站服务器上的安全性设置。在MTS上注册组件的步骤如下：
1) 打开IIS管理控制台。
2) 展开transaction server，右键单击"pkgs installed"然后选择"new package"。
3) 单击"create an empty package"。
4) 给该包命名。
5) 指定administrator帐号或则使用"interactive"（如果服务器经常是使用administrator 登陆的话）。
6) 现在使用右键单击你刚建立的那个包下面展开后的"components"。选择 "new then component"。
7) 选择 "install new component" 。
找到你的.dll文件然后选择next到完成。
要删除这个对象，只要选择它的图标，然后选择delete。
附注：特别要注意第二种方法，它是用来调试自己编写组件的最好方法，而不必每次都需要重新启动机器了。
16. ASP与Access数据库连接：
<%@ language=VBscript%>
<%
dim conn,mdbfile
mdbfile=server.mappath("数据库名称.mdb")
set conn=server.createobject("adodb.connection")
conn.open "driver={microsoft access driver (*.mdb)};uid=admin;pwd=数据库密码;dbq="&mdbfile
%>
17. ASP与SQL数据库连接：
<%@ language=VBscript%>
<%
dim conn
set conn=server.createobject("ADODB.connection")
con.open "PROVIDER=SQLOLEDB;DATA SOURCE=SQL服务器名称或IP地址;UID=sa;PWD=数据库密码;DATABASE=数据库名称
%>
建立记录集对象：
<%
set rs=server.createobject("adodb.recordset")
rs.open SQL语句,conn,3,2
%>
18. SQL常用命令使用方法：
(1) 数据记录筛选：
sql="select * from 数据表 where 字段名=字段值 order by 字段名 [desc]"
sql="select * from 数据表 where 字段名 like '%字段值%' order by 字段名 [desc]"
sql="select top 10 * from 数据表 where 字段名 order by 字段名 [desc]"
sql="select * from 数据表 where 字段名 in ('值1','值2','值3')"
sql="select * from 数据表 where 字段名 between 值1 and 值2"
(2) 更新数据记录：
sql="update 数据表 set 字段名=字段值 where 条件表达式"
sql="update 数据表 set 字段1=值1,字段2=值2 …… 字段n=值n where 条件表达式"
(3) 删除数据记录：
sql="delete from 数据表 where 条件表达式"
sql="delete from 数据表" (将数据表所有记录删除)
(4) 添加数据记录：
sql="insert into 数据表 (字段1,字段2,字段3 …) valuess (值1,值2,值3 …)"
sql="insert into 目标数据表 select * from 源数据表" (把源数据表的记录添加到目标数据表)
(5) 数据记录统计函数：
AVG(字段名) 得出一个表格栏平均值
COUNT(*|字段名) 对数据行数的统计或对某一栏有值的数据行数统计
MAX(字段名) 取得一个表格栏最大的值
MIN(字段名) 取得一个表格栏最小的值
SUM(字段名) 把数据栏的值相加
引用以上函数的方法：
sql="select sum(字段名) as 别名 from 数据表 where 条件表达式"
set rs=conn.excute(sql)
用 rs("别名") 获取统的计值，其它函数运用同上。
(5) 数据表的建立和删除：
Create TABLE 数据表名称(字段1 类型1(长度),字段2 类型2(长度) …… )
例：Create TABLE tab01(name varchar(50),datetime default now())
Drop TABLE 数据表名称 (永久性删除一个数据表)
19. 记录集对象的方法：
rs.movenext 将记录指针从当前的位置向下移一行
rs.moveprevious 将记录指针从当前的位置向上移一行
rs.movefirst 将记录指针移到数据表第一行
rs.movelast 将记录指针移到数据表最后一行
rs.absoluteposition=N 将记录指针移到数据表第N行
rs.absolutepage=N 将记录指针移到第N页的第一行
rs.pagesize=N 设置每页为N条记录
rs.pagecount 根据 pagesize 的设置返回总页数
rs.recordcount 返回记录总数
rs.bof 返回记录指针是否超出数据表首端，true表示是，false为否
rs.eof 返回记录指针是否超出数据表末端，true表示是，false为否
rs.delete 删除当前记录，但记录指针不会向下移动
rs.addnew 添加记录到数据表末端
rs.update 更新数据表记录
20 Recordset对象方法
Open方法
recordset.Open Source,ActiveConnection,CursorType,LockType,Options
Source
Recordset对象可以通过Source属性来连接Command对象。Source参数可以是一个Command对象名称、一段SQL命令、一个指定的数据表名称或是一个Stored Procedure。假如省略这个参数，系统则采用Recordset对象的Source属性。

1.如何用Asp判断你的网站的虚拟物理路径
答：使用Mappath方法：< %= Server.MapPath("\")% >
2.我如何知道使用者所用的浏览器？
答：使用the Request object方法：
<%
strBrowser=Request.ServerVariables("HTTP_USER_AGENT")
If Instr(strBrowser,"MSIE") < > 0 Then
　　Response.redirect("formSIEOnly.htm")
Else
　　Response.redirect("ForAll.htm")
End If
%>
3.如何计算每天的平均反复访问人数
答：解决方法
< % startdate=DateDiff("d",Now,"01/01/1990")
if strdate< 0 then startdate=startdate*-1
avgvpd=Int((usercnt)/startdate) % >
显示结果
< % response.write(avgvpd) % >
that is it.this page have been viewed since November 10,1998
4.如何显示随机图象
< % dim p,ppic,dpic
ppic=12
randomize
p=Int((ppic*rnd)+1)
dpic="graphix/randompics/"&p&".gif"
% >
显示
< img src="< %=dpic% >" >
5.如何回到先前的页面
答：< a href="< %=request.serverVariables("Http_REFERER")% >" >preivous page< /a >
或用图片如：< img src="arrowback.gif" alt="< %=request.serverVariables("HTTP_REFERER")% >" >
6.如何确定对方的IP地址
答：< %=Request.serverVariables("REMOTE_ADDR)% >
7.如何链结到一副图片上
答：< % @Languages=vbscript % >
< % response.expires=0
strimagename="graphix/errors/erroriamge.gif"
response.redirect(strimagename)
% >
8.强迫输入密码对话框
答：把这句话放载页面的开头
< % response.status="401 not Authorized"
response.end
% >
9.如何传递变量从一页到另一页
答：用 HIDDEN 类型来传递变量
<form method="post" action="mynextpage.asp" >
< % for each item in request.form % >
< input name="< %=item% >" type="HIDDEN"
value="< %=server.HTMLEncode(Request.form(item)) % >" >
< % next % >
< /form >
10.为何我在 asp 程序内使用 msgbox，程序出错说没有权限
答：由于 asp 是服务器运行的，如果可以在服务器显示一个对话框，那么你只好等有人按了确定之后，你的程序才能继续执行，而一般服务器不会有人守着，所以微软不得不禁止这个函数，并胡乱告诉你 ( 呵呵) 没有权限。但是ASP和客户端脚本结合倒可以显示一个对话框，as follows:
<%yourVar="测试对话框"%>
<script language='javascript'>
alert("<%=yourvar%>")
</script>