code.asp?source=/directory/file.asp
2、使用的 ACCESS mdb 数据库可能被人下载一般来说在提供 asp 权限的免费主页服务器上不可能提供代为设定 DSN 的服务，因此 asp 程序使用的数据库通常都局限在使用 mdb 库，而 mdb 远端数据库所在的位置是使用我们在第十四期中讲到过的 DSN-less 方法直接在 asp 中指定的，方法如下 :
< %connstr = "DBQ="+server.mappath("database/source.mdb")+";DefaultDir=;DRIVER={Microsoft Access Driver (*.mdb)};DriverId=25;FIL=MS Access;ImplicitCommitSync=Yes;MaxBufferSize=512;MaxScanRows=8;PageTcomout=5; SafeTransactions=0;Threads=3;UserCommitSync=Yes;"
正如前文所言，在这种情况下 mdb 库很可能被他人下载，从而造成诸如密码等的泄露。
所以，作为 webmaster 应该采取一定的措施，严禁 code.asp 之类的程序（似乎很难办到 , 但可以定期检索特征代码），限制 mdb 的下载。
3、来自强大的 filesystemobject 组件的威胁
IIS3、 IIS4 的 ASP 的文件cāo作都可以通过 filesystemobject 实现，包括文本文件的读写目录cāo作、文件的拷贝改名删除等，但是这个强大的功能也留下了非常危险的“后门”。利用 filesystemobjet 可以篡改下载 fat 分区上的任何文件。即使是 ntfs 分区，如果权限没有设定好的话，同样也能破坏，一不小心你就可能遭受“灭顶之灾”。遗憾的是很多 webmaster 只知道让 web 服务器运行起来，很少对 ntfs 进行权限设置，而 NT 目录权限的默认设置偏偏安全xìng又低得可怕。因此，如果你是 Webmaster，作者强烈建议你密切关注服务器的设置，尽量将 web 目录建在 ntfs 分区上，目录不要设定 everyone full control，即使是是管理员组的成员一般也没什么必要 full control，只要有读取、更改权限就足够了。
四、 ASP 应用程序可能面临的攻击过去许多 Internet 上 CGI 写的留言本或 BBS 是把客户输入的留言变为一个变量，然后再把这个变量chā入到显示留言的 HTML 文件里，因此客户输入的文本如要在 HTML 文件里显示就得符合 HTML 标准，而 CGI 程序里一般都加入了特定的 HTML 语言。当客户输入内容，chā入 HTML 文件时，即同时chā入到了头尾 HTML 语句中，如：
< font>客户输入的变量 < /font>但如果把前后的 HTML 标记给敝屏了，就可以做很多事情了。
如输入时打上：
< /font>符合 HTML 标准的语句 < font>前后的 < font>是用来敝屏 CGI 中的 HTML 语句用的。chā入到 HTML 文件里的就变成了：
< font>< /font>符合 HTML 标准的语句 < font>< /font>由于这样一个特xìng，使得写个 javascript 的死循环变得非常容易，只要在输入框中输入：
< a href="URL" onMouseover="while(1){window.close(\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\')}">或 < a herf="URL" onMousever="while(ture){window.close(\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\')}">
那么就能让其他查看该留言的客户的浏览器因死循环而死掉。 ASP 开发的程序同样可能存在这个问题，因此当你用 asp 编写类似程序时应该做好对此类cāo作的防范，譬如可以写一段程序判断客户端的输入，并屏蔽掉所有的 HTML、 Javascript 语句。
看完本期后，如果你非常的震惊，那么你必须彻底对你现有的网站或 asp 程序进行一翻检测，看看是否存在上述漏洞。如果你对文中所谈到的漏洞都有所了解并已有足够的对策，那么在恭喜你的同时，还是要提醒你经常查看你的网站和 asp 程序，如果你有数据库也应该经常查看，以防他人利用一些我们未知的漏洞进行攻击。最后，如果你对本文所谈论的 asp 安全xìng问题有什么独特的见解，或对漏洞有新的发现，希望能来信同我探讨。
-------------------------------------------------------
访问小说分享者（剁椒鱼头）的书库,阅读更多TA分享的书籍！
地址：http://www.16sy.com/u?id=14
也可以百度搜索松语文学或者访问www.16sy.com
-------------------------------------------------------
松语文学免费小说阅读_www.16sy.com