关于ASP编程中安全性问题的解决方案

2022-07-15 80酷酷网 80kuku.com

1、问题描述
标准的HTML语句或者javascript语句会改变输出结果
例如：
在留言板中，我们在留言内容中打入：
<font size=10 color=red>你好</font>
如果你的ASP程序中没有屏蔽html语句，那么就会改变"你好"字体的大小。
又比如：
在输入框中写个 javascript 的死循环：
<a herf=http://someurl >特大新闻</a>
　那么其他查看该留言的客人只要移动鼠标到"特大新闻"，上就会使用户的浏览器因死循环而死掉。

解决方法和建议：
编写类似程序时应该做好对此类操作的防范，譬如可以写一段程序判断客户端的输入，并屏蔽掉所有的 HTML、 javascript 语句。利用下面函数HtmlEnCode()处理：
Function HtmlEnCode(str)
'替换空格符号
str=Replace(str," "," ")
'替换字符"<",">"
str=Replace(str,"<","<")
str=Replace(str,">",">")
'替换行
str=Replace(str,chr(13),"
")
HtmlEnCode=Str
End Function

2、问题描述
用户COPY下表单后，修改ACTION到指定的URL
例如：
新建一个发布页面，未加入客户端的数据合法性检查代码，若指定表单ACTION到提交页面，则通过你的程序入口，可向数据库输入不合法的数据，或导致数据库出错。

解决方法和建议：
通过下面的过程可以解决：
Sub CheckSubmit(Dir)
Dim ParentURL,ChildURL
'读取上一个跳转页面的地址,并且转换为小写字符窜
ParentURL=lcase(Request.ServerVariables("HTTP_REFERER"))
ChildURL=lcase("http://www.kupage.com/"&Dir)
If Instr(ParentURL,ChildURL)=0 Then
StrTemp="
<li>您的提交文件不合法！"
Call ShowErrMsg(StrTemp) ‘ShowErrMsg()出错提示过程
End If
End Sub
备注:
1）使用此过程时，预先要在ChildURL中输入本站域名，注意不能输入IP地址，应为HTTP_REFFERER返回的参数为域名。
2）传递的参数Dir是当前的文件所在的相对目录路径。
3）如果这个网站有2个或2个以上的域名指向，可以在条件语句上并列一个条件，如果域名www.51hu.com也指向这个IP地址（更多如法炮制），条件语句头可以一下判断：
If Instr(ParentURL,ChildURL)=0 and Instr(ParentURL,lcase(“www.51hu.com”&Dir)) Then

3．问题描述
用输入框修改SQL语句
解决方法和建议：
屏蔽掉’ “ & +等符号，注意当禁止键盘输’”&+等非法符号时，用户还可能用COPY的方法输入；还有一种方法就是用一个转换函数，把非法字符转换为合法，从数据库中取出时再转换回来。
可借鉴如下函数：(在执行SQL命令前对特殊字符进行转换)
Function AdjustedForSQL(adj_str)
Dim AdjustedStr,I
Adj_str=Trim(adj_str)
AdjustedStr=””
If Len(adj_str)>0 Then
For I=1 To Len(adj_str)
Select Case Mid(adj_str,I,1)
Case”[”:
AdjustedStr=AdjustedStr & “[]”
Case “|”:
AdjustedStr=AdjustedStr & “[{-}]”
Case “’”:
AdjustedStr=AdjustedStr & “[&-()”
Case Else:
AdjustedStr=AdjustedStr & Mid(adj_str,I,1)
End Select
Next
End If
AdjustedForSQL=AdjustedStr
End Function

4．问题描述
点击后退反复刷新数据库
例如：
发布页面中，发布完一条信息后点击后退，继续发布，反复操作，会导致系数据库多余无效数据。
解决方法和建议：
可在时间上对下一次数据库操作进行控制：
Session("PutInfo")=Now()
在进行数据库操作时，最好是读取表单变量之前加下一句
If DateAdd("s",30,Session("PutInfo"))>Now() Then
Response.Write "<script language=javascript>alert(""您发布信息的间隔时间不能低于30秒!"");history.back();</script>"
Response.End
End If

5．问题描述
ASP程序密码验证问题
例如：
在用户名框中输入任意值，密码框中输入ben' or '1'='1 ，这样就绕过了密码验证，将以数据库中第一个用户的身份登陆。

解决方法和建议：
1）屏蔽输入框中的符号” ’ ”
2）在用户登录页面对于用户名和密码不要同时加以判断，只对用户名进行判断，根据用户名在数据库中查找是否有与之匹配的密码，再将数据库中的密码与输入框中的内容进行比较

6．问题描述
直接修改浏览器中URL传递的参数值

解决方法和建议：
1）尽量不要在链接中带重要的参数，在接受参数时应对请求人进行权限判断。
2）若传递的参数为数字，应对传递的参数做合法性判断。