2024年6月21日发(作者：)

维普资讯

２００６年ｌ２月　电　脑　学　习　第６期　

李佳　

摘要

季秀兰　

分析了用ＡＳＰ和Ａｃｃｅｓｓ数据库构造网站中的安全随患．并探讨了相应的解决方法。　

ＯＤＢＣ数据源　安全随忠　

文赦标识码

关键词　ＡＳＰ　Ａｃｃｅｓｓ　

中圈分类号ＴＰ３ｏ９．２　

解决方案　

Ｂ　文章编号：１００２－２４２２（２００６）０６枷４３—ｏ２　

Ｔｈｅ　Ｈｉｄｄｅｎ　Ｓｅｃｕｒｉｔｙ　ａｎｄ　Ｓｏｌｕｔｉｏｎ　ｏｆ　ＡＳＰ＋Ａｃｃｅｓｓ　Ｄａｔａｂａｓｅ　

Ｌｉ　Ｊｉａ　

Ａｂｓｔｒａｃｔ　

ｊｉ　Ｘｊｎｌｌ！！！　

Ｔｈｅ　ｐａｐｅｒ　ａｎａｌｙｚｅｓ　ｔｈｅ　ｈｉｄｄｅｎ　ｓｅｃｕｒｉｔｙ　ｉｎ　ｔｈｅ　ｓｉｔｅｓ　ｐｒｏｄｕｃｅｄ　ｂｙ　ＡＳＰ　ａｎｄ　Ａｃｃｅｓｓ，ａｎｄ　ｇｉｖｅｓ　８ｏｍｅ　ｓｏｌｕｔｉｏｎｓ　ｔｏ　ｔｈｅ　

ｐｒｏｂｌｅｍｓ．　

Ｋｅｙｗｏｒｄ　ＡＳＰ　Ａｃｃｅｓｓ　ＯＤＢＣ　Ｄａｔａ　Ｓｏｕｒｃｅ　Ｈｉｄｄｅｎ　Ｓｅｃｕｒｉｔｙ　Ｓｏｌｕｔｉｏｎ　

ＡＳＰ＋Ａｃｃｅｓｓ的架构已成为中小型网站的首选方案，但　

这个方案在为我们带来便捷的同时，也带来严峻的安全问　

题，那么，如何保护和利用ＡＳＰ＋Ａｃｃｅｓｓ架构开发的网站。　

已成为当前网络应用需要解决的问题。　

Ｉ　ＡＳＰ＋Ａｃｃｅｓｓ的安全隐患分析　

面时，必须避免该问题的发生。　

２提高ＡＳＰ＋Ａｃｃｅｓｓ安全性的解决方案　

２．Ｉ非常规命名法　

防止数据库被找到的简便方法是为Ａｃｃｅｓｓ数据库文件　

起一个复杂的非常规名字，并把它存放在深层目录下。　

２．２使用ＯＤＢＣ数据源　

１．１　Ａｃｃｅｓｓ数据库中的存储隐患　

在ＡＳＰ＋Ａｃｃｅｓｓ应用系统中，如果获得或者猜到Ａｃｃｅｓｓ　

数据库的存储路径和数据库名，则该数据库就可以被下载，　

整个网站的数据被暴露。　

即使数据库名字起得再怪异，隐藏的目录再深，ＡＳＰ源　

代码失密后，数据库也很容易被下载。如果使用ＯＤＢＣ数　

据源，就不会存在这样的问题了。　

１．２　Ａｃｃｅｓｓ数据库中的解密隐患　

Ａｃｃｅｓｓ数据库的加密机制非常简单，即使数据库设了　

密码，也存在被解密的危险。Ａｃｃｅｓｓ数据库通过将用户输入　

的密码与某一固定密钥进行异或来形成一个加密串。并将　

其存储在・．ｍｄｂ文件从地址＆Ｈ４２开始的区域内。由于异　

或操作的特点是经过两次异或就恢复原值，因此，用这一密　

钥与・．ｍｄｂ文件从地址＆Ｈ４２开始区域内的加密串进行第　

２Ｉ３修改数据库扩展名　

可以将数据库的扩展名改为．ａｓｐ或．ａｓａ，这样数据库不　

会被轻易的下载，而数据还可以正常的读出写入。　

２．４设置文件不可以下载　

在ＩＩＳ数据库上右键属性，设置文件为不可以读取，可　

以将数据库中的数据利用加密算法进行加密成密文的形　

式，就算数据库被下载。打开后是无法识别的乱码，也就保　

证了数据的安全。　

２．５对ＡＳＰ页面进行加密　

二次异或操作，就可以轻松地得到任何Ａｃｃｅｓｓ数据库的密　

码。基于这种原理，可以轻松地编制解密程序。这样，无论是　

否设置了数据库密码，只要数据库被下载，其信息就会泄　

露。　

最简单的方法是使用微软的Ｓｃｒｉｐｔ　Ｅｎｃｏｄｅｒ对ＡＳＰ页　

面进行加密。它有以下优点：　

（１）Ｓｃｒｉｐｔ　Ｅｎｃｏｄｅｒ只加密在ＨＴＭＬ页面中嵌入的　

１．３　ＡＳＰ源代码的安全隐患　

由于ＡＳＰ程序采用的是非编译性语言，大大降低了程　

序源代码的安全性。只要进入站点。就可以获得源代码。造　

成泄露。　

ＡＳＰ代码。其他部分保持不变，仍可使用网页编辑工具对　

ＨＴＭＬ部分进行修改、完善，但不能对ＡＳＰ加密部分进行　

修改，否则会导致文件失效。　

（２）操作简单。只要掌握几个命令行参数即可。Ｓｃ卜　

ｉｐｔ　Ｅｎｃｏｄｅｒ的运行程序是ｓｅｒｅｎｅ．ｅｘｅ，其使用方法如下：ｓ—　

ｅｒｅｎｃ　】　】　ｄｅｆＬａｎｇｕａｇｅ】　ｄｅｆＥｘｔｅｎｓｉｏｎ】ｉｎｐｕｔ－　

ｆｄｅ　ｏｕｔｐｕｔｉｆｌｅ，其中的参数含义为：ｓ：屏蔽屏幕输出：ｆ：指定　

１．４　ＡＳＰ程序设计中的安全隐患　

ＡＳＰ代码利用表单实现与用户交互的功能，在不同的　

ＡＳＰ页面间传递变量的时候，相应的内容会反映在浏览器　

的地址栏中，如果不采取一些措施，只要记下这些内容，就　

可以绕过验证直接进入某一页，因此，在设计验证或注册页　输出文件是否覆盖同名输入文件；ｘｌ：是否在．ａｓｐ文件的顶　

收稿日期：２００６－０９—１３　李佳江苏食品职业技术学院计算机应用技术系助教（淮安２２３００２）．研究方向：计算机网络　

・

４３・　

维普资讯

２００６耳１２月　电　脑．　学　习　第６期　

基于ＡＳＰａＮＥＴ的安全登录系统的实现术　

刘志成一　陈承欢　

摘　要　介绍了ＡＳＰ．ＮＥＴ安全体系结构．分析了ＡＳＰ．ＮＥＴ应用程序中登录系统的验证流程和页面请求流程。给出了加密　

模块的具体的实现方法。　

关键词　ＡＳＰ．ＮＥＴ　安全　蹙录　

中图分类号ＴＰ３１　１．５２　文献标识码Ｂ文章编号：１００２—２４２２（２００６）０６加０４４—０２　

Ｔｈｅ　Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ　ｏｆ　Ｓｅｃｕｒｉｔｙ　Ｌｏｇｉｎ　Ｓｙｓｔｅｍ　Ｂａｓｅｄ　ｏｎ　ＡＳＰ．ＮＥＴ　

Ｌｉｕ　Ｚｈｉｃｈｅｎｇ　Ｃｈｅｎ　Ｃｈｅｎｇｈｕａｎ　

Ａ　ｂｓｔｒａｃｔ　Ｔｉｌｅ　ｐａｐｅｒ　ｉｎｔｒｏｄｕｃｅｓ　ｔｈｅ　ｓｅｅｕｒｔｉｙ　ｓｙｓｔｅｍ　ｆｒａｍｅｗｏｒｋ　ｏｆ　ＡＳＰ．ＮＥＴ，ａｎｄ　ａｎａｌｙｚｅｓ　ｔｈｅ　Ｖｅｒ　ｉｎｇ　ｆｌｏｗ　ａｎｄ　ｐａｇｅ　ｒｅｑｕｅｓ！　

ｉｎ　ｔｈｅ　ｌｏｇｉｎ　ｓｙｓｔｅｍ　ｏｆ　ｔｈｅ　ａｐｐｌｉｃａｔｉｏｎ　ｂａｓｅｄ　ｏｎ　ＡＳＰ．ＮＥＴ．Ｍｅａｎｗｈｉｌｅ，ｔｈｅ　ｃｏｎｃｒｅｔｅ　ｍｅｔｈｏｄ　ｏｆ　ｅｎｃｒｙｐｔｉｏｎ　ｍｏｄｕｌｅ　ｉｓ　

ｐｒｏｖｉｄｅｄ．　

Ｋｅｙｗｏｒｄ　ＡＳＰ．ＮＥ１’　Ｓｅｃｕｒｉｔｙ　ｂｏｇｉｎ　

ＡＳＰ．ＮＥＴ实现应『｝ｊ程序的安全性时提供了很多的控　

户髓录系统蜜全性进行详细阐述。　

制。ＡＳＰ．ＮＥＴ安令性　Ｍｉｃｒｏｓｏｆｔ　Ｉｎｔｅｍｅｔ信息服务（ＩＩＳ）　

１用户登录模块的设计与实现　

蜜会件　同．ｒ作，包括身份验证和授权服务以实现ＡＳＰ．　

ＮＥＴ安伞模型　ＡＳＰ．ＮＥＴ还包括一个基ｊ　角色的安会功　

１．１蟹录请求过程　

能，＿丁Ｉ以　Ｍｉｃｒｏｓｏｆｔ　Ｗｉｎｄｏｗｓ和｛｝Ｗｉｎｄｏｗｓ川户帐户实　

ＡＳＰ．ＮＥＴ应『｛』程序的川户　录模块充成的功能包括川　

现该功能　ＡＳＰ．ＮＥＴ立全体系结构如图１所示。　

户身份的验证、相应权限的确立、及刚户信息的记录　具体　

在』ｒ发ＡＳＰ．ＮＥＴ应川程序时，可以应Ｙｔｊ　ＡＳＰ．ＮＥＴ系统　

登录时的页面请求流程是：（１）ＧＥＴ　ｄｅｆａｕｈ．ａｓｐｘ　ＨＴＩＰＡ．　

提供的安全－策略结台Ｊ『ｊ户自定义安全系统以构建一个安全　

１，登隶ｆｏｒｍ；（２）３０２重定向；（３）Ｈ哪Ｐ０ｓＴ　ｄｅｆａｕｌｔ．　

的应川系统，本文主要对通过加密和权限控制技术实现用　

ａｓｐｘ　ＩｔＴＩＰＡ．１＜窗体数据包含身份验证凭据＞；（４）应川程　

序用户，验证；（５）２００　ＯＫ设定Ｓｅｓｓｉｏｎ．ＡＳＰＸＡＵＴＨ　Ａｕｔｈ　

部添加＠Ｌａｎｇｕａｇｅ指令：ｌ：ｄｅｆＬａｎｇｕａｇ指定缺省的脚本语　

Ｒｅｓｉｎ，ｉｒｓｅ．Ｒｅｄｉｒｅｃｔ　ｈｔｔｐ．／／ＷＷＷ．ｊｙｓ．ｃｏｍ／ｄｅｎｇｌｕ．ｈｉｍ　

ｅ：ｄｅｆＥｘｔｅｎｓｉｏｎ指定待加密文件的扩展名．　

Ｅｎｄ　Ｉｆ　如果末通过验证，返同登　状态　

ｆ３）Ｗ　网ｊ　免费　找。　

％＞　

２．６使Ｊ『Ｊ　Ｓｅｓｓ　１１对象进行注册验证　

２．７其它解决方案　

它的最人优点足ＩＵ。以把Ｊ｝Ｊ户的信息保留Ｆ来，．止后续　

（１）加强页面缓存管理；（２）刚ＡＳＰ２ＤＬＬ刈源代码　

！ｊ！＝谊墩，避免．ｒ在不　负面间传递信息的时候信息显　

进行加密；（３）在数据库中添加错误的ＡＳＰ代码；（４）使　

０　ｌｊ生址　中　榭芙的代码如Ｆ：　

用身份验　Ｅ机制保护被限制的ＡＳＰ内容。　

，

＜％　

３结束语　

：ｊ　ｃ　ｆ¨Ｊ＝Ｒｅｑｕｅｓｌ（　Ｕｓｅｒｌ１）”）　

‘　ｎｊ：Ｒｅｑｕｅｓｔ　（　Ｐ　ｓ，　ｗ‘ｍ　）　

通过｝　面的分析。得知在川ＡＳＰ开发戍川程序时，要允　

１　ＵｓｅｒｌＤ＜＞＂ｈｎｎｉｓ　Ｏｒ　Ｐａｓｓｗｏｒｄ＜＞　ｐａｓｓｗｏｒｄ　ｒｈｅａ　

分考虑到系统的安会性。可以麻川以ｔ：ｉＪｌ：的儿种方法来不　

Ｒｅｓｐｕｎ　ｅ．Ｗｒｉ［ｅ　娥学锗漩　

断的完善我们的系统，形成一个稳定的安全体系。　

Ｒｃｓｐ．ｎ￣　．Ｅｎｄ　

参考文献　

Ｅｎｄ　Ｉｆ　

Ｓｃ　ｉ‘Ｕｌ（　ｌ　岫　ｄ　）＝’ｔｒｕｅ　

［ｉｌＵ；￣Ｎ，于志良．ＡＳＰ精解案例教栏【Ｍ］．北京：消华大学　

％＞　

出版朴，２００４．　

进入　Ⅲ枉序后。｝１先进　验　

ｆ２Ｊ张红．网站建设［Ｍ】．北京：高等教育出版社，２００４．　

ｆ：％　

ｆ３１：Ｅ汉新，刘瑞林．数据库基础　Ａｃｃｅｓｓ　川教　ｆＭ］．北　

ｌｆ　Ｎｏｔ　Ｓｅｂａｉｕｒ￣（＂Ｐａｓ，￣ａｔ　、，ｌ１ｈｅｎ　

京：商等教育出版社，２００３．　

蓝盘琐ｆ１：湖Ｉ｛ｌ』饮道职业挝术学院课题（Ｋ２００５０３）　修改稿收到日期：２００６－－０７—１６　

｝十划　成湖ｍ铁遴职业技　术学院信息］　粒系岛级工程师（株洲４１２００１），从　数　库技术和软件工程的教学乖ｌ研究　

－４４・