摘要：本文對(duì)Asp技術(shù)下的WEB服務(wù)器的安全問(wèn)題進(jìn)行分析和總結(jié)，旨在提高使用ASP技術(shù)的WEB開(kāi)發(fā)和應(yīng)用的安全性。

關(guān)鍵詞：ASP；Web服務(wù)器；數(shù)據(jù)庫(kù)

中圖分類號(hào)：TP391 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1007-9599 （2012） 23-0000-02

Asp是微軟公司推出的基于WEB編程的服務(wù)器端腳本環(huán)境，ASP可以輕松地實(shí)現(xiàn)對(duì)頁(yè)面內(nèi)容的動(dòng)態(tài)控制，根據(jù)不同的瀏覽者，顯示不同的頁(yè)面內(nèi)容。ASP可包含HTML標(biāo)簽，也可以直接存取數(shù)據(jù)庫(kù)及使用無(wú)限擴(kuò)充的ActiveX控件，因此在程序編制上要比HTML方便而且更富有靈活性。目前，IIS+ASP+SQL（或Access）方案已成為中小型企業(yè)構(gòu)建自己網(wǎng)上信息系統(tǒng)的首選方案。雖然Asp具有快速開(kāi)發(fā)能力，但Asp也存在很多不容忽視的安全漏洞。

1 ASP程序設(shè)計(jì)安全技術(shù)

Asp程序設(shè)計(jì)的安全主要涉及三個(gè)方面：Asp源代碼的安全、Asp程序設(shè)計(jì)的安全和數(shù)據(jù)庫(kù)安全。

1.1 ASP源代碼的安全。（1）保證ASP源碼的安全的主要技術(shù)是Asp腳本加密技術(shù)。常用方法有兩種：一是ASP2DLL技術(shù)。其基本思想是利用VB6.0提供的Activexdll對(duì)象將Asp代碼進(jìn)行封裝，編譯為DLL文件，在Asp程序中調(diào)用該DLL文件。二是利用微軟提供的ScriptEncoder加密軟件對(duì)Asp頁(yè)面進(jìn)行加密。（2）置合適的腳本映射。應(yīng)用程序的腳本映射保證了Web服務(wù)器不會(huì)意外地下載Asp文件的源代碼，但不安全或有錯(cuò)誤的腳本映射易導(dǎo)致Asp源代碼泄漏。因此，應(yīng)將用不到的有一定危險(xiǎn)性的腳本映射刪掉（如*.htr文件及*.htw，*.ida，*.idq等索引文件）。

1.2 程序設(shè)計(jì)中的安全。（1）用戶名、口令機(jī)制。用戶名、口令是最基本的安全技術(shù)，在Asp中常采用Form表單提交用戶輸入的賬號(hào)和密碼，與用戶標(biāo)識(shí)數(shù)據(jù)庫(kù)中相應(yīng)的字段進(jìn)行匹配，在必要的場(chǎng)合可以使用MD5算法來(lái)加密用戶輸入的密碼，可以保證在線路被竊聽(tīng)的情況下依然保證數(shù)據(jù)的安全，保護(hù)用戶口令的安全。（2）注冊(cè)驗(yàn)證。為了網(wǎng)站資源的安全性和易于管理，可以對(duì)用戶進(jìn)行分級(jí)，給定權(quán)限，使特定用戶訪問(wèn)特定的資源群，也可以阻止未授權(quán)用戶使用網(wǎng)站的資源，這就需要對(duì)用戶進(jìn)行注冊(cè)驗(yàn)證操作。在ASP中，我們可以利用Session對(duì)象和Http頭信息來(lái)實(shí)現(xiàn)此類安全控制。當(dāng)訪問(wèn)者通過(guò)身份驗(yàn)證頁(yè)面后，就把Session對(duì)象的Sessionid屬性作為一個(gè)Session變量存儲(chǔ)起來(lái)，當(dāng)訪問(wèn)者試圖導(dǎo)航到一種有效鏈接的頁(yè)面時(shí)，可將當(dāng)前的Sessionid與存儲(chǔ)在Session對(duì)象中的ID進(jìn)行比較，如果不匹配，則拒絕訪問(wèn)。如在Session（“id”）中保存著第一次鏈接的Sessionid，<%ifsession.sessionid<>session（“id”）thenresponse.end%>’拒絕訪問(wèn)。（3）網(wǎng)頁(yè)過(guò)期管理?？紤]到有可能用戶在使用網(wǎng)頁(yè)的過(guò)程中，有可能會(huì)長(zhǎng)時(shí)間離開(kāi)計(jì)算機(jī)處理別的事情，這樣會(huì)給別有用心的人有可乘之機(jī)，所以應(yīng)該給網(wǎng)頁(yè)一個(gè)過(guò)期時(shí)間。這樣不僅保證了用戶的安全，也可以減少服務(wù)器的鏈接數(shù)，減少服務(wù)器壓力?？梢允褂胹ession.timeout=時(shí)間，過(guò)了這么長(zhǎng)時(shí)間網(wǎng)頁(yè)就失效了，前提是你用一個(gè)session值來(lái)判斷登錄狀態(tài)如session.timeout=20。（4）頁(yè)面緩沖管理：頁(yè)面緩沖可以加快網(wǎng)站的瀏覽速度，但也會(huì)給非法用戶提供了越權(quán)瀏覽的機(jī)會(huì)。因此，重要的Web頁(yè)面（如身份驗(yàn)證頁(yè)面）必須禁止頁(yè)面緩存，強(qiáng)制瀏覽器每次向Web服務(wù)器請(qǐng)求新頁(yè)面。利用Asp的Response對(duì)象的Expires屬性和Clear方法可解決此問(wèn)題。具體設(shè)置：Response.expires=0Rsponse.clear，expires表示緩存頁(yè)面的有效期，0表示立即過(guò)期，clear表示清空緩沖區(qū)。（5）程序錯(cuò)誤管理：錯(cuò)誤的執(zhí)行參數(shù)和意外的執(zhí)行過(guò)程，都可以導(dǎo)致頁(yè)面出現(xiàn)錯(cuò)誤提示，而這些錯(cuò)誤提示會(huì)提供給別人很多網(wǎng)站的信息，比如使用數(shù)據(jù)庫(kù)的類型，表中所含字段的名稱等等。會(huì)造成程序的不安全。所以在編程過(guò)程中要注意對(duì)異常數(shù)據(jù)的處理和意外事件的控制，才能保證網(wǎng)站的安全性。

1.3 數(shù)據(jù)庫(kù)的安全。（1）ACCESS數(shù)據(jù)庫(kù)：在一些小型程序中，常用到ACCESS數(shù)據(jù)庫(kù)，ACCESS數(shù)據(jù)庫(kù)易于管理而安全性低，應(yīng)注意在命名時(shí)不要采用常規(guī)的*.mdb的后綴名，而應(yīng)該用*.asp，*.inc文件的后綴名，這樣，即使數(shù)據(jù)庫(kù)路徑即使被別人發(fā)現(xiàn)，也不能下載數(shù)據(jù)庫(kù)而導(dǎo)致信息的不安全。（2）SQLSERER數(shù)據(jù)庫(kù)：首先應(yīng)更改sa口令，取消guest帳號(hào)。并且不能把sa帳號(hào)的密碼寫在應(yīng)用程序或者腳本中。其次，應(yīng)加強(qiáng)數(shù)據(jù)庫(kù)訪問(wèn)日志的監(jiān)視，定期備份數(shù)據(jù)庫(kù)。同時(shí)，制訂完整的數(shù)據(jù)庫(kù)備份策略，在必要的時(shí)候能夠?qū)崿F(xiàn)對(duì)數(shù)據(jù)庫(kù)的恢復(fù)。（3）屏蔽數(shù)據(jù)庫(kù)路徑信息。為防止數(shù)據(jù)庫(kù)路徑和名稱隨ASP源代碼失密而失密，常使用ODBC數(shù)據(jù)源。使用ODBC數(shù)據(jù)源連接數(shù)據(jù)庫(kù)的命令是Conn.open“DSN名”。

2 WEB服務(wù)器的安全

Asp技術(shù)中常用微軟自帶的IIS架設(shè)WEB服務(wù)器。WEB服務(wù)器的安全包括了系統(tǒng)的安全和IIS的安全。

2.1 系統(tǒng)的安全。（1）目錄文件的保護(hù)：NTFS權(quán)限。NTFS文件系統(tǒng)提供了比Fat32更為安全的文件管理方式，它通過(guò)文件訪問(wèn)控制表（ACL）定義了用戶訪問(wèn)文件和目錄的權(quán)限級(jí)別，如果用戶具有打開(kāi)文件的權(quán)限，計(jì)算機(jī)則允許該用戶訪問(wèn)文件。通過(guò)設(shè)定目錄和文件的訪問(wèn)權(quán)限，禁止無(wú)關(guān)用戶對(duì)目錄文件進(jìn)行復(fù)制、修改、刪除等操作，限制對(duì)系統(tǒng)的入侵。（2）防火墻技術(shù)。可以根據(jù)WEB服務(wù)器的應(yīng)用范圍，決定防火墻的位置。（3）審核與監(jiān)視技術(shù)。安全審核負(fù)責(zé)監(jiān)視系統(tǒng)中各種與安全有關(guān)的事件，生成安全日志，并提供查看安全日志的方法。通過(guò)分析安全日志，可以發(fā)現(xiàn)并阻止各種危及系統(tǒng)安全的行為。除了安全日志，系統(tǒng)日志和應(yīng)用程序日志也是很好的監(jiān)視工具，它們記錄了用戶自登錄開(kāi)始直到退出的整個(gè)操作過(guò)程，為網(wǎng)絡(luò)安全分析提供可靠的依據(jù)。（4）關(guān)閉不用的服務(wù)和協(xié)議，堵上系統(tǒng)的漏洞和后門。“盡量少開(kāi)沒(méi)用到的服務(wù)”，如果開(kāi)啟了某個(gè)服務(wù)，就要提防該服務(wù)可能引起的漏洞。同時(shí)要定期下載操作系統(tǒng)、IIS、ASP和DBMS最新漏洞的補(bǔ)丁，將可能發(fā)生的安全隱患減到最少。

2.2 IIS的安全。（1）不要將IIS安裝在系統(tǒng)分區(qū)上。默認(rèn)情況下，IIS與操作系統(tǒng)安裝在同一個(gè)分區(qū)中，這是一個(gè)潛在的安全隱患。因?yàn)橐坏┤肭终呃@過(guò)了IIS的安全機(jī)制，就有可能入侵到系統(tǒng)分區(qū)。如果管理員對(duì)系統(tǒng)文件夾、文件的權(quán)限設(shè)置不是非常合理，入侵者就有可能篡改、刪除系統(tǒng)的重要文件，或者利用一些其他的方式獲得權(quán)限的進(jìn)一步提升。將IIS安裝到其他分區(qū)，即使入侵者能繞過(guò)IIS的安全機(jī)制，也很難訪問(wèn)到系統(tǒng)分區(qū)。（2）修改IIS的安裝默認(rèn)路徑。IIS的默認(rèn)安裝的路徑是＼inetpub，Web服務(wù)的頁(yè)面路徑是＼inetpub＼wwwroot，這是任何一個(gè)熟悉IIS的人都知道的，入侵者也不例外，使用默認(rèn)的安裝路徑無(wú)疑是告訴了入侵者系統(tǒng)的重要資料，所以需要更改。（3）刪除危險(xiǎn)的IIS組件。默認(rèn)安裝后的有些IIS組件可能會(huì)造成安全威脅，例如Internet服務(wù)管理器（HTML）、SMTPService和NNTPService、樣本頁(yè)面和腳本，大家可以根據(jù)自己的需要決定是否刪除。

Asp環(huán)境下的安全問(wèn)題應(yīng)從系統(tǒng)的全局進(jìn)行分析和考慮，既要保證系統(tǒng)安全，又要取得良好的系統(tǒng)性能。本文從服務(wù)器端、Asp程序設(shè)計(jì)兩個(gè)方面對(duì)Asp安全技術(shù)進(jìn)行分析和總結(jié)，但隨著新的攻擊手段和方法不斷涌現(xiàn)，要構(gòu)建一個(gè)面面俱到的安全體系是很困難的，因?yàn)橐环N技術(shù)只能解決一或幾個(gè)方面的問(wèn)題。因此，Asp的安全應(yīng)側(cè)重于預(yù)防，規(guī)范自己的編程習(xí)慣，及時(shí)地堵上系統(tǒng)漏洞，定期進(jìn)行風(fēng)險(xiǎn)評(píng)估，安裝入侵檢測(cè)系統(tǒng)等預(yù)防措施能及時(shí)有效地進(jìn)行入侵防范。

[作者簡(jiǎn)介]李殿勛（1966.9-），男，單位：遼寧軌道交通職業(yè)學(xué)院（沈陽(yáng)鐵路機(jī)械學(xué)校）教務(wù)處副處長(zhǎng)兼教學(xué)評(píng)估與督導(dǎo)辦公室主任，高級(jí)講師，研究方向：信息技術(shù)及人力資源管理等。