2024年6月21日发(作者：)

维普资讯

本栏目责任编辑：闻翔军　数据库及信息管理　

ＡＳＰ＋ＡＣＣＥＳＳ信息技术应用研究　

杨璐婷．刘天时　

（西安石油大学计算机学院，陕西西安，７１００６５）　

摘要：Ｉｎｔｅｒｎｅｔ的迅猛发展，Ｗｅｂ技术日新月异。继通用网关接口（ＣＧＩ）之后，“ＡＳＰ”（Ａｃｔｉｖｅ　Ｓｅｒｖｅｒ　Ｐａｇｅｓ）作为一种典型的服务器端网　

页设计技术，被广泛地应用在网上银行、电子商务、搜索引擎等各种互联网应用中。本文综合分析了ＡＳＰ＋Ａｃｃｅｓｓ解决方案在应用过程中　

的安全隐患．并提出提高ＡＳＰ＋ＡｃＣｅＳＳ解决方案安全性的技术路线．　．

关键词：ＡＳＰ＋ＡＣＣＥＳＳ：信息技术：应用　

中图分类号：ＴＰ３１１　文献标识码：Ａ　文章编号：１００９—３０４４（２００７）１９—４０００１—０２　

ＹＡＮＧ　Ｌｕ—ｔｉｎｇ，ＬＩＵ　Ｔｉａｎ—ｓｈｉ　

Ｓｔｕｄｙ　ｏｎ　Ａｐｐｌｉｃａｔｉｏｎ　ｆｏｒ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙ　ｉｎ　ＡＳＰ　ａｎｄ　ＡＣＣＥＳＳ　

（Ｓｃｈｏｏｌ　ｏｆＣｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　ｏｆＸｉ’ａｎ　ＳｈｉＹｏｕ　Ｕｎｉｖｅｒｓｉｔｙ，Ｘｉ’ａｎ　７１００６５，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ｍｏｎｇ　ｗｉｔｈ　ｔｈｅ［ｎｔｅｒｎｅｔ　ｄｅｖｅｌｏｐｍｅｎｔ，ｔｈｅ　Ｗｅｂ　ｔｅｃｈｎｏｌｏｇｙ　ｃｈａｎｇｅｓ　ｗｉｔｈ　ｅａｃｈ　ｎｅｗ　ｄａｙ．Ａｆｔｅｒ　ｃｏｎｔｉｎｕｅｓ　ｔｈｅ　ｇｅｎｅｒａｌ　ｇａｔｅｗａｙ　ｃｏｎ—　

ｎｅｃｔｉｏｎ（ＣＧＩ），“ＡＳＰ”（Ａｃｔｉｖｅ　Ｓｅｒｖｅｒ　Ｐａｇｅｓ）ｔｏｏｋ　ｏｎｅ　ｋｉｎｄ　ｏｆ　ｔｙｐｉｃａｌ　ｓｅｖｅｒｒ　ｅｎｄ　ｈｏｍｅｐａｇｅ　ｄｅｓｉｇｎ　ｔｅｃｈｎｏｌｏｇｙ，ｉｓ　ｗｉｄｅｌｙ　ａｐｐｌｉｅｄ　ｉｎ　ｔｈｅ　ｏｎ—ｌｉｎｅ　

ｂａｎｋ．ｔｈｅ　ｅｌｅｃｔｒｏｎｉｃ　ｃｏｍｍｅｒｃｅ，ｔｈｅ　ｓｅａｒｃｈ　ｅｎｇｉｎｅ　ａｎｄ　ＳＯ　ｏｎ　ｉｎ　ｅａｃｈ　ｋｉｎｄ　ｏｆ［ｎｔｅｒｎｅｔ　ａｐｐｌｉｃａｔｉｏｎ．Ｔｈｉｓ　ｐａｐｅｒ　ａｎａｌｙｓｅｓ　ｔｈｅ　ｈｉｄｄｅｎ　ｔｒｏｕｂｌｅ　ｏｆ　ｓａｆｅｔｙ　

ｉｎ　ａｐｐｌｉｃａｔｉｏｎ　ｏｆ　ＡＳＰ　ａｎｄ　ＡＣＣＥＳＳ　ｔｏ　ｔｈｅ　ａｂｏｖｅ　ｆｉｅｌｄｓ．Ａｔ　ｔｈｅ　ｓａｍｅ　ｔｉｍｅ，ｔｈｅ　ａｕｔｈｏｒ　ｂｒｉｎｇｓ　ｆｏｒｗａｒｄ　ｔｈｅ　ｐｏｓｓｉｂｌｅ　ｔｅｃｈｎｏｌｏｇｉｃａｌ　ｐｒｏｃｅｓｓ　ｆｏｒ　ｔｒｏｕｂｌｅ　

ｓｈｏｏｔｉｎｇ．　

Ｋｅｙ　ｗ０ｒｄｓ：Ａｃｔｉｖｅ　Ｓｅｒｖｅｒ　Ｐａｇｅｓ；Ｉｎｆｏｒｍａｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｙ；Ａｐｐｌｉｃａｔｉｏｎ　

１引言　

随着Ｉｎｔｅｒｎｅｔ的发展．Ｗｅｂ技术日新月异。继通用网关接口　

（ＣＧＩ）之后　“ＡＳＰ”（Ａｅｔｉｖｅ　Ｓｅｒｖｅｒ　Ｐａｇｅｓ１作为一种典型的服务器端　

可执行ＨＴＭＬ码的浏览器．即可浏览Ａｅｔｉｖｅ　Ｓｅ［ｖｅｔ　Ｐａｇｅｓ所设计　

的网页内容　Ａｃｔｉｖｅ　Ｓｅｉ　ｃｅｒ　Ｐａｇｅ８所使用的脚本语言（ＶＢＳｅｒｉｐｔ、　

Ｊｓｃｒｉｐｔ）均在ＷＥＢ服务器端执行．用户端的浏览器不需要能够执　

行这些脚本语言　　‘

网页没计技术．被广泛地应用在网上银行　电子商务、搜索引擎等　

各种互联网应用中　同时Ａｃｅｅｓｓ数据库作为微软推出的以标准　

（５）Ａｃｔｉｖｅ　Ｓｅｒｖｅｒ　Ｐａｇｅｓ能与任何ＡｅｔｉｖｅＸ　ｓｃｒｉｐｔｉｎｇ语言相容。　

除了可使用ＶＢＳｃｒｉｐｔ或ＪＳｅｒｉｐｔ语言来设计外．还通过ｐｌｕｇ－ｉｎ的　

方式．使用由第ｊ方所提供的其他脚本语言，譬如ＲＥＸＸ、Ｐｅｒｌ、Ｔｃｌ　

ＪＥＴ为引擎的桌面型数据库系统．由于具有操作简单、界面友好等　

特点．具有较大的用户群体　因此ＡＳＰ＋Ａｃｃｅｓｓ成为许多中小型网　

上应用系统的首选方案　但ＡＳＰ＋Ａｃｃｅｓｓ解决方案在为我们带来　

便捷的同时．也带来了不容忽视的安全问题．　．

等．　脚本引擎是处理脚本程序的ＣＯＭ（Ｃｏｍｐｏｎｅｎｔ　Ｏｂｉｅｅｔ　Ｍｏｄｅ１）物　

件　

２　ＡＳＰ信息技术概述　

２．１　ＡＳＰ信息技术的基本概念　

ＡＳＰ信息技术即Ａｅｔｉｖｅ　Ｓｅｒｖｅｒ　Ｐａｇｅ的缩写　它是一种包含了　

（６）Ａｃｔｉｖｅ　Ｓｅｒｖｅｒ　Ｐａｇｅｓ的源程序，不会被传到客户浏览器，因　

而可以避免所写的源程序被他人剽窃．也提高了程序的安全性。　

（７）可使用服务器端的脚本来产生客户端的脚本。　

（８）物件导向（Ｏｂｊｅｃｔ—ｏｒｉｅｎｔｅｄ）　

使用ＶＢ　Ｓｃ打口ｔ或Ｊｓｅｒｉｐｔ脚本程序代码的网页。当浏览器浏览　

ＡＳＰ网页时．Ｗｅｂ服务器就会根据请求生成相应的ＨＴＭＩ　代码然　

（９）ＡｃｔｉｒｅＸ　Ｓｅ　ｎ，ｅｒ　Ｃｏｍｐ０ｎｅｎｔｓ（ＡｃｔｉｖｅＸ服务器元件）具有无　

后再返回给浏览器．这样浏览器端看到的就是动态生成的网页　

ＡＳＰ是微软公司开发的代替ＣＧＩ脚本程序的一种应用，它可以与　

数据库和其它程序进行交互．是一种简单、方便的编程工具　在了　

解了ＶＢＳＣＲＩＰＴ的基本语法后．只需要清楚各个组件的用途、属　

限可扩充性　可以使用Ｖｉｓｕａｌ　Ｂａｓｉｃ、Ｊａｖａ、Ｖｉｓｕａｌ　Ｃ＋＋、ＣＯＢＯＬ等　

编程语言来编写你所需要的ＡｅｔｉｖｅＸ　Ｓｅｒｖｅｒ　ＣｏｍｐｏｎｅｎｔｏＡＳＰ的网　

页文件的格式是．ＡＳＰ　ＡＳＰ＋Ａｃｃｅｓｓ的安全隐患ＡＳＰ＋Ａｃｃｅｓｓ解决　

方案的主要安全隐患来自ＡＣＯｅｓｓ数据库的安全性．其次在于ＡＳＰ　

网页设计过程中的安全漏洞　

性、方法．就可以轻松编写　自己的ＡＳＰ系统。ＡＳＰ信息技术内含　

于ＩＩＳ３．０和４．０之中．通过ＡＳＰ我们可以结合ＨＴＭＬ网页、ＡＳＰ指　

令和ＡｃｔｉｖｅＸ元件建立动态、交互且高效的ＷＥＢ服务器应用程　

３　ＡＳＰ网页设计过程中的安全漏洞　

３．１　Ａｃｃｅｓｓ数据库的存储隐患　

在ＡＳＰ＋Ａｃｃｅｓｓ应用系统中．如果获得或者猜到Ａｃｃｅｓｓ数据　

库的存储路径和数据慝名．则该数据库就可以被下载到本地。例　

如：对于网上书店的Ａｔｅｅｓｓ数据库．人们一般命名为ｂｏｏｋ．ｍｄｂ、　

ｓｔｏｒｅ．ｍｄｂ等．而存储的路径一般为“ＵＲＵｄａｔａｂａｓｅ”或干脆放在根　

目录（“ＵＲＬ／”）下。这样，只要在浏览器地址栏中敲入地址：“ＵＲＵ　

ｄａｔａｂａｓｅ／ｓｔｏｒｅ．ｍｄｂ”．就可以轻易地把ｓｔｏｒｅ．ｍｄｂ下载到本地的机　

器中。　

序．．有了ＡＳＰ你就不必担心客户的浏览器是否能运行你所编写的　

代码．凶为所有的程序都将在服务器端执行．包括所有嵌在普通　

ＨＴＭＬ中的脚本程序　当程序执行完毕后，服务器仅将执行的结果　

返回给客户浏览器。这样也就减轻了客户端浏览器的负担．大大　

提高了交互的速度　

２．２　ＡＳＰ信息技术的特点　

Ａｃｔｉｖｅ　Ｓｅｒｖｅｒ　Ｐａｇｅｓ所独具的一些特点如下：　

（１）使用ＶＢＳｃｒｉｐｔ、ＪＳｃｒｉｐｔ等简单易懂的脚本语言，结合　

ＨＴＭＬ代码．即可快速地完成网站的应用程序　

（２）无须ｃｏｒｎｐｉｌｅ编译，容易编写，可在服务器端直接执行。　

（３）使用普通的文本编辑器．如Ｗｉｎｄｏｗｓ的记事本．即可进行　

编辑设计．　．

３．２　Ａｃｃｅｓｓ数据库的解密隐患　

由于Ａｃｃｅｓｓ数据库的加密机制非常简单。所以即使数据库设　

置了密码．解密也很容易　该数据库系统通过将用户输入的密码　

与某一固定密钥进行异或来形成－一个加密串．并将其存储在六．　

ｍｄｂ文件中从地址“＆Ｈ４２”开始的区域内　由于异或操作的特点　

是“经过两次异或就恢复原值”．因此．用这一密钥与六．ｍｄｂ文件　

（４）与浏览器无关（ＢｒｏＷｓｅｒ　Ｉｎｄｅｐｅｎｄｅｎｃｅ）．用户端只要使用　

收稿日期：２００７—０９—０９　

作者简介：杨璐婷（１　９７８一），女，陕西西－．ｅ－￣，西安石油大学计算机学院工程硕士在读，研究方向：管理信息系统与计算机网络；刘天时，男，西　

安石油大学计算机学院院长．教授．研究方向：管理信息系统与计算机网络。　

维普资讯

数据库及信息管理　

中的加密串进行第二次异或操作．就可以轻松地得到Ａｃｃｅｓｓ数据　

本栏目贲任编辑：闻翔军　

ｘｌ：是否在．ｈｔｍｌ文件的顶部添加＠Ｌａｎｇｕａｇｅ指令；　

ｌ：ｄｅｆＬａｎｇｕａｇ指定缺省的脚本语言：　

ｅ：ｄｅｆＥｘｔｅｎｓｉｏｎ指定待加密文件的扩展名　

库的密码。基于这种原理。可以很容易地编制出解密程序。由此　

可见，无论是否设置了数据库密码。只要数据库被下载．其信息就　

没有任何安全性可言了　

３＿３源代码的安全隐患　，　

（３）可以批量加密文件　使用Ｓｃｒｉｐｔ　Ｅｎｃｏｄｅｒ可以对当前目录　

中的所有的ＡＳＰ文件进行加密．并把加密后的文件统一输出到相　

由于ＡＳＰ程序采用的是非编译性语言．这大大降低了程序源　

代码的安全性　任何人只要进入站点，就可以获得源代码，从而造　

应的目录中。例如：　

ｓｃｒｅｎｃ女

．

ｈｔｍｌ　ｃ：＼ｔｅｍｐ　．　

成ＡＳＰ应用程序源代码的泄露　

３Ｉ４程序设计中的安全隐患　

ＡＳＰ代码利用表单（ｆｏｒｍ）实现与用户交互的功能．而相应的　

内容会反映在浏览器的地址栏中．如果不采用适当的安全措施．　

只要记下这些内容．就可以绕过验证直接进入某一页面　例如在　

浏览器中敲入“……ｐａｇｅ．ｈｔｍｌ？ｘ＝１”．即可不经过表单页面直接进　

入满足“ｘ＝１”条件的页面。因此，在设计验证或注册页面时，必须　

采取特殊措施来避免此类问题的发生　

４提高ＡＳＰ＋Ａｃｃｅｓｓ数据库的安全性　

４．１由于Ａｃｃｅｓｓ数据库加密机制过于简单．因此．如何有效地　

防止ＡｃｃｅｓＳ数据库被下载．就成了提高ＡＳＰ＋Ａｃｃｅｓｓ解决方案安　

全性的重中之重　

４．１．１非常规命名法　

防止数据库被找到的简便方法是为Ａｃｃｅｓｓ数据库文件起一　

个复杂的非常规名字．并把它存放在多层目录下。例如．对于网上　

书店的数据库文件．不要简单地命名为”ｂｏｏｋ．ｍｄｂ”或”ｓｔｏｒｅ．ｍｄｂ”．　

而是要起个非常规的名字，例如：　

ｆａｑｌ９ｊｈｓｖｚｂａ１．ｍｄｂ．再把它放在如．／ａｋｋｊｊ１６ｆｆｋｊｈｇｂ６６１／ａｃｄ／ａｖｅ—　

ｃｘ５５之类的深层目录下　这样．对于一些通过猜的方式得到Ａｃ—　

ｃｅｓｓ

数据库文件名的非法访问方法起到了有效的阻止作用　

４．１．２使用ＯＤＢＣ数据源　

在ＡＳＰ程序设计中．应尽量使用ＯＤＢＣ数据源，不要把数据　

库名直接写在程序中．否则．数据库名将随ＡＳＰ源代码的失密而　

一

同失密。　

可见，即使数据库名字起得再怪异，隐藏的目录再深，ＡＳＰ源　

代码失密后．数据库也很容易被下载下来　如果使用ＯＤＢＣ数据　

源，就不会存在这样的问题了：　

ｃｏｎｎ．ｏｐｅｎ“ＯＤＢＣ—ＤＳＮ名”　

对ＡＳＰ页面进行加密为有效地防止ＡＳＰ源代码泄露．可以　

对ＡＳＰ页面进行加密。一般有两种方法对ＡＳＰ页面进行加密。一　

种是使用组件技术将编程逻辑封装入ＤＬＬ之中：另一种是使用微　

软的ＳｃｒｉｐｔＥｎｃｏｄｅｒ对ＡＳＰ页面进行加密。笔者认为．使用组件技　

术存在的主要问题是每段代码均需组件化．操作比较烦琐．工作　

量较大：而使用Ｓｃｒｉｐｔ　Ｅｎｃｏｄｅｒ对ＡＳＰ页面进行加密，操作简单、　

收效良好　

４．２　Ｓｃｉｒｐｔ　Ｅｎｃｏｄｅｒ方法具有许多优点：　

（１）ＨＴＭＬ仍具有很好的可编辑性。Ｓｃｒｉｐｔ　Ｅｎｃｏｄｅｒ只加密在　

ＨＴＭＬ页面中嵌入的ＡＳＰ代码．其他部分仍保持不变。这就使得　

我们仍然可以使用ＦｒｏｎｔＰａｇｅ或Ｄｒｅａｍｗｅａｖｅｒ等常用网页编辑工　

具对ＨＴＭＬ部分进行修改、完善．只是不能对ＡＳＰ加密部分进行　

修改　否则将导致文件失效。　

（２）操作简单。只要掌握几个命令行参数即可。Ｓｃｒｉｐｔ　Ｅｎｃｏｄｅｒ　

的运行程序是ｓｃｒｅｎｃ．ｅｘｅ．其使用方法如下：　

ｓｃｒｅｎｃ［Ｉｓ］［／ｆｌ【／ｘ１］【／ｌ　ｄｅｆＬａｎｇｕａｇｅ］［／ｅ　ｄｅｆＥｘｔｅｎｓｉｏｎ］ｉｎｐｕｔｉｆｌｅ　

ｏｕｔｐｕｔｉｆｌｅ　

其中的参数含义如下：　

ｓ：屏蔽屏幕输出：　

ｆ：指定输出文件是否覆盖同名输入文件：　

２　电脑知识与技术　

（４）Ｓｃｒｉｐｔ　Ｅｎｃｏｄｅｒ是免费软件　该加密软件可以从微软网站　

下载：　．　

ｈｔｔｐ：／／ｍｓｄｎ．ｍｉｃｒｏｓｏｆｔ．ｃｏｒｒｄｓｃｒｉｐｔｉｎｇ／ｖｂｓｃｒｉｐｔ／ｄｏｗｎｌｏａｄ／ｘ８６／　

ｓｃｅ１０ｅｎ．ｅｘｅ。下载后，运行安装即可。　

利用Ｓｅｓｓｉｏｎ对象进行注册验证　

为防止未经注册的用户绕过注册界面直接进入应用系统．可　

以采用Ｓｅｓｓｉｏｎ对象进行注册验证　Ｓｅｓｓｉｏｎ对象最大的优点是可　

以把某用户的信息保留下来．让后续的网页读取　

设计要求用户注册成功后系统启动ｈｒｍｉｓ．ｈｔｍｌ？ｐａｇｅ＝ｌ页面。　

如果不采用Ｓｅｓｓｉｏｎ对象进行注册验证．则用户在浏览器中敲入　

“ＵＲＬ／ｈｒｍｉｓ．ｈｔｍｌ？ｐａｇｅ＝１”即可绕过注册界面，直接进入系统。利用　

Ｓｅｓｓｉｏｎ对象可以有效阻止这一情况的发生。相关的程序代码如　

下：　

＜％读取用户输入的账号和密码　　，

ＵｓｅｒＩＤ＝Ｒｅｑｕｅｓｔ（“ＵｓｅｒＩＤ”、　

Ｐａｓｓｗｏｒｄ＝Ｒｅｑｕｅｓｔ（“Ｐａｓｓｗｏｒｄ”１检查ＵｓｅｒｌＤ　

及ＰａｓｓＷｏｒｄ是否正确（实际程序可能会比较复杂）　

Ｉｆ　ＵｓｅｒＩＤ＜＞“ｈｒｍｉｓ”Ｏｒ　Ｐａｓｓｗｏｒｄ＜＞　

“

ｐａｓｓｗｏｒｄ”Ｔｈｅｎ　

Ｒｅｓｐｏｎｓｅ．Ｗｌｉｔｅ“账号错误！”　

Ｒｅｓｐｏｎｓｅ．Ｅｎｄ　

ＥｎｄＩｆ　

将Ｓｅｓｓｉｏｎ对象设置为通过验证状态　

Ｓｅｓｓｉｏｎ（“Ｐａｓｓｅｄ”１＝Ｔｒｕｅ　

％＞　

进入应用程序后．首先进行验证：　

＜％如果未通过验证．返回Ｌｏｇｉｎ状态　

Ｉｆ　Ｎｏｔ　Ｓｅｓｓｉｏｎ（“Ｐａｓｓｅｄ”１　Ｔｈｅｎ　

Ｒｅｓｐｏｎｓｅ．Ｒｅｄｉｒｅｃｔ“ｌｏｇｉｎ．ｈｔｍ’’　

Ｅｎｄ　Ｉｆ　

＊　

％＞　

５结束语　

相信在不久的将来．内容制作及客户服务将会成为网站的一　

项关键性的工作。即使在内容制作方面．也不必使人员完全固定　

和集中　最新出现的技术已使我们可以直接在互联网上瞬间完成　

网页的组织、交流、合成与移植．网站公司中的庞大行政与人事管　

理机构将不复存在：随着社会的进步．人类生活将与互联网息息　

相关．网站公司将不需要投入大量的人力及巨额资金进行铺天盖　

地、推销到户式的宣传：还有。就是我们正在期待的。即将发展起　

来的以ＡＳＰ信息技术为基础的互联网络与数据库连接业务．将为　

网站建设提供模块组合式的系统集成服务　

参考文献：　

【１］冯延晖，译．ＡＳＰ技术手册【Ｍ］．中国电力出版社，２００５．　

【２］宋延杭．即时应用ＡＳＰ脚本（第二版）【Ｍ］．人民邮电出版社，　

２００６．　

【３］ＸＩ￣Ｉ，陈惠贞，陈俊荣．挑战ＡＳＰ与网页数据库设计【Ｍ］．中　

国铁道出版社．２００４．　

【４］王国荣．ＡＳＰ网页制作教程【Ｍ］．人民邮电出版社，２００６．