堵住ASP漏洞

無論你相不相信，通過 asp，可能可以很方便地入侵 web server、竊取伺服器上的檔案、捕獲 web 資料庫等系統的使用者口令，甚至惡意刪除伺服器上的的檔案，直至造成系統損壞，這些都決非聳人聽聞，而且都確確實實發生過，本文將向你一一揭示這些 asp 存在的漏洞，並提出一些防範意見。
上一篇中給大家著重談了“ADO 存取資料庫時如何分頁顯示”的問題，有位朋友來信給我指出我在計算頁面總數時忽略了 Recordset 對象的一個重要參數“PageCount”，它能在給 Pagesize 賦值後自動得出頁面的總數，而無須用“INT(RS.recordcount/PgSz*-1)*-1”這樣繁瑣的公式。我要感謝這位朋友熱心地給我指出程式中的不足，由於這個程式是我在很久以前寫的，因為在分頁顯示的時候記錄的總數不一定能整除頁面顯示記錄的數目，而當時我又不能肯定 PageCount 是否能正確得出頁面的數目，所以偷懶寫了這個公式：），說實話我到現在還都沒試過用 pagecount，有興趣的朋友千萬要試一下哦，可別學我的懶惰呀。
最近我在 chinaasp 的 bbs 上討論問題時發現很多朋友對於 asp 的一些安全性問題不甚瞭解，甚至不知道如何解決最常見的 asp::$DATA 顯示原始碼的問題，因此我覺得非常有必要在這裡給廣大朋友們重點談一談這個問題，在徵得 chinaasp 飛鳥的同意下，我將他曾經寫過的一點關於 asp 漏洞的介紹加上我自己的一些實踐經驗拿出來給大家詳細分析一下這個對於 webmaster 來說至關重要的 asp 的安全性問題。
當去年 ::$DATA 的漏洞被發現並公布的第二天，我曾經檢測了當時國內大部分運用 asp 的網站，其中百分之九十九都存在以上可以看見原始碼的問題，當日我甚至在微軟的網站上抓下了 search.asp 這個檔案的原始碼。可能你會覺得看到原始碼並沒有什麼大礙，如果作為 webmaster 的你這麼想就大錯特錯了。譬如，如果 asp 程式員將網站的登陸密碼直接寫在 asp 裡，那麼一旦源碼被發現，他人就可以很容易的進入本不該被看到的頁面，我就曾經利用這個方法免費成為了一個收費網站的成員（大家可別揭發我哦！），而且很多資料庫的串連使用者名稱和密碼也都是直接寫在 asp 裡，一旦被發現，如果你的資料庫允許遠端存取而且沒有設防的話就相當危險了。在一些用 asp 開發的 bbs 程式中，往往使用的是 access mdb 庫，如果 mdb 庫存放的路徑被獲知，資料庫就很有可能被他人下載，加之如果資料庫裡含有的密碼不加密，那就非常危險了，擷取密碼的人如果有意進行惡意破壞，他只需要以 admin 身份登陸刪除所有 bbs 裡的文章，就夠你嗆的了。下面列出了目前已經發現的一些漏洞，希望大家提高警惕一、經過實驗我們發現， win95+pws 上運行 ASP 程式，只須簡單地在瀏覽器地址欄的 asp 檔案名稱後多加一個小數點 ASP 程式就會被下載下來。