随着各种网站程序设计及网站管理设置安全程度越来越高，各类恶意的入侵攻击者都被阻挡在网站安全防线之外，攻击者想要入侵攻击某个网站服务器，是愈来愈困难的事情。但是攻击者的恶意入侵行为并没有就此终止，他们将入侵攻击的目标转而盯上了网站的用户，各类网站的浏览者。 在某个安全程度非常高的网站，攻击者也许只需小小的一句代码，就让网站成为了入侵者的帮凶--网站本身并没有遭受到任何攻击，但是浏...

在网络上，每一个用户进入一个网站时，都会获得一张入门牌。这张入门牌，给用户身份的标识，同时有一定的使用时间期限。在许可的时间内定，用户可以凭着这张入门牌在网站执行自己的权限。然而一是这张入门牌落入攻击者手中，攻击者就可以伪装成该用户，欺骗网站执行各种恶意的行为。这张入门牌，就是 Cookie 信息，而攻击者的行为，就是所谓的 Cookie 欺骗攻击。 打开 Windows 系统中默认的 IE 临时文件夹“...

在 IIS 服务器的映射列表中，除了默认的几个 asp.dll 库的映射外，还有 3 个不为许多管理员所注意的 stm、 shtm、shtml 映射。这 3 个映射依然不是9Cool九酷网络个人主页空间管理系统 v4.1免费版程序的禁止列表中，但同样有着极为可怕的攻击性。 1，上传另类暴库 这里由于“9Cool九酷网络个人主页空间管理系统 v4.1 免费版”程序的漏洞，产生了另一种另类的暴库攻击手段。 打开记事本，在其中撰写如下代码内...

ASP(Active Server Pages)是服务哭端的脚本编写环境，它是由微软公司的IIS3.0以上版本支持。它可用来创建动态WEB页或生成功能强大的 Web 应用程序。ASP页是包括 HTML 标记、文本和脚本命令的文件。ASP页可调用ActiveX组件来执行任务，如连接到数据库或进行商务计算。通过 ASP ，可为 Web 页添加交互内容或用 HTML 页构成整个WEB应用程序，这些应用程序使用HTML页作为客户的界面。 1，什么是 ADO ASP 和后台...

SQL 注入攻击的危害性非常大，严重影响着网站程序的安全，因此必须从网站程序设计初始就严防 SQL 注入漏洞的产生。在防范 SQL 注入时，程序设计者需要注意方方面面可能产生安全问题的地方，其关键所在就是用户数据输入口处。 基础过滤与二次过滤 在进行 SQL 注入攻击前，入侵者需要在可修改参数中提交“'”、“and”等特殊字符，以判断是否存在注入漏洞；在实施 SQL 注入时，需要提交“;”、“--”、“select”、“uni...

一般而言，攻击者要入侵控制某个网站服务器，往往需要获得网站的后台管理权限，要获得网站的管理权限，则必须先获得网站管理员用户名及密码。得到对方管理员用户各种密码的方法有很多，但都离不开对数据库进行入侵攻击。 之前有提到过 SQL 注入攻击，其实都是利用数据库进行入侵攻击。然 SQL 注入攻击技术比较特殊，它可以直接获取 Webshell,控制整个网站服务器，但它同样也是建立在对数据库进行非法攻击操...

黑客在通过脚本技术入侵服务器后，往往会在网站上放置一些网页木马后门，因此要保证网站的安全，严防各种木马后门，进行检测与防范是一个很重要的方面。 一，删除各种脚本对象以禁止 ASP 木马运行 常见的海洋顶端木马、冰狐浪子、ASP 站长管理助手等，在使用时要实现一些功能一般要调用到 FSO 对象、ADODB.STREAM等，如果在服务器上删除了这些对象，也能从一方面起到防范攻击者进一步渗透入侵的目的。 (1) ...

入侵者的目标，往往都是数据库，通过数据库获得管理员的密码及用户名信息，甚至通过数据库获得 Webshell,控制整个网站服务器。尤其是 SQL 数据库的安全性更重要，如果安全设置不慎，攻击者甚至可以直接通过 SQL 数据库完全获得服务器的控制。 一，Access 数据库防下载处理 当使用 Access 做后台数据库时，如果有入侵者通过暴库、文件包含、注入等各种方法，知道或者猜到了服务器的 Access 数据库的路径和数...

要保证网站服务器正常提供 Web 服务，首先要保证 Web 服务器系统的安全可靠性。有许多网站遭到入侵，就是由于系统安全设置未做好的缘故。除了及时更新系统补丁程序外，Web 服务系统的安全设置必不可少，这里以最常见的 IIS 为例进行安全设置讲解。 一，删除不必要的 IIS 组件 最少的服务往往带来最大的安全，一般的 Web 服务器只需安装的 IIS 最小组件选择是：Com Files、IIS Snap-In、WWW Server 组件。至...

造成跨站攻击的原因，主要是由于网站服务端的程序，对客户的输入不进行有效验证，于是攻击者就可能会输入一些恶意的 Script 程序代码，由于网站程序保存攻击者的输入，并将它们展示给所有的浏览者，因此已输入的恶意代码就可能会对浏览者造成危害。 下面，我们来看一个仅有两个网页文件的网站，感性认识一下跨站攻击。 第一个网页名为“page1.asp”，通过使用一个提交表单或者 Cookie 信息来获取用户名，其代...

FCKeditor 是网上一个常见的在线 HTML 网页编辑系统，有许多论坛博客甚至网站都在调用此插件。不过在老版 FCKeditor 中存在着文件上传漏洞，而 FCKeditor 是由国外网站开发的，许多国内网站系统使用的都是汉化版本，因此版本更新不够及时，导致网站中也存在了上传漏洞。尤其是一些修改版和美化版的动网、PHPWind 论坛中都存在此漏洞。 在百度或谷歌中以“inurl:(fckeditor)”为关键词，可以搜索到相当多存在...

许多网站程序，在设计时出于模块化高效设计考虑，往往借用了一些现成的第三方功能插件。比如许多网站之所以出现上传漏洞，大多是因为借用了某些存在漏洞的无组件上传插件。此外，一些第三方的功能插件，如编辑功能组件之类的，也常常是网站程序设计者所借用，但是也因此也带来了潜藏的安全危机--很有可能自己设计的程序已经足够完善安全，但第三方的组件，却在安全的壁垒上打开了一个缺口，引发整座安全堡...

在“9Cool九酷网络个人主页空间管理系统 v4.1 免费版”程序中，似乎只要禁止了各种类型的文件后缀，从 asp、php 到 cer、asa、cdx，以及 stm、shtml、shtm,程序就可以保证安全了。但真是这样吗？ 在“9Cool九酷网络个人主页空间管理系统 v4.1 免费版”程序中，由于程序设计者的程序逻辑错误，导致了另一个上传漏洞的存在，更令人感到意外。 1，加一个点，9Cool九酷的另一个漏洞 同样地，依然登录“9Cool九酷网络...

在任何一个网站程序中，文件上传提交框是随处可见的。通常这类的上传框只是一个调用框架，将用户的文件参数提交给真正实现上传功能的程序文件，其代码如下：

要防范一句话木马可以从两方面进行，首先要隐藏网站的数据库，不要让攻击者知道数据库文件的链接地址。这就需要管理员页程序中补上暴库漏洞，在数据库连接文件中加入容错代码等。 其次就是要防止用户提交的数据未过滤漏洞，对用户提交的数据进行过滤，替换一些危险的代码等。例如，将插入的ASP代码中的<、>和""等字符会被程序转换成其他字符，致使服务端代码无法正常执行。 不得不提的是，许多网站...

许多网站中由于数据库过滤不严而造成的漏洞，该漏洞存在于许多网页程序中。由于网页程序没对用户提交的数据进行严格的限制，致使用户可以在提交数据中插入一些特殊的ASP语句。当这些语句被作为数据插入到数据库中后，而网站数据库文件又是 ASP 格式时，就造成了“数据库过滤不严”漏洞的存在。如果提交的数据是一些可执行的ASP语句，当这些语句插入数据库中后，由于数据库文件是ASP格式的，因此这些语句在数...

“conn.asp”暴库法是通过直接访问数据库连接文件“conn.asp”的网址链接，达到让数据库现形的目的。攻击者可能会利用“挖掘鸡”工具，轻松搜索到数据库连接文件“conn.asp”，并进行暴库攻击。 在挖掘鸡设置界面中，勾选“敏感信息”项中的“暴库”项，其中包括“conn.asp”和其他数据库文件项目。将“线程数”设置为“40”，“线程数”一般 ADSL 用户推荐 40-50 基本就足够了。另外，在扫描过程中状态栏有扫每个链接平均耗时...

Oblog 是一款用户群非常多的博客系统，在其 Oblog 2.22 版中，存在着一个暴库漏洞，其漏洞原因与上面的两个程序是一样的，都是没有数据库连接文件的容错语句。 以“powered by Oblog ver2”或“inurl:(blog/index.asp?classid=)”为关键词进行搜索，可搜索到许多漏洞网站。 以其中的某个站点“http://www.abc.com/blog/index.asp”为例，进行测试。打开一个文章链接“http://www.abc.com/blog/index.asp?classid=6...

BBSXP论坛是网上非常流行的ASP论坛之一，不过从BBSXP论坛的最初版本到BBSXP5.15版，都存在着暴库安全漏洞。虽然最新版的BBSXP论坛已经没有此漏洞了，但存在漏洞的论坛在网上却是非常多的。 由于BBSXP的暴库漏洞存在于5.11版本及更早版本的BBSXP论坛中，在百度搜索页面中输入搜索关键词“Powered by BBSxp 5.11”,很快可以搜索到很多存在 漏洞的网站论坛。这些网站中，有非常多都是使用了二级目录的网站，因此...

准确来说，“%5c” 暴库法本身不是网页程序的漏洞，而是由于 IIS 解码特性所造成的，如果 IIS 安全设置不周全，而网页设计者未考虑 IIS 错误，就会被人利用。但是“conn.asp”暴库法，却是由于网页程序设计得失误所造成的漏洞了。 如何防范暴库漏洞呢？从程序设计者的角度来说，既然暴库是由于 IIS 出错信息造成的，那么只需要屏蔽出错信息即可。因此，可在“conn.asp”数据库连接文件中，添加如下一条语句： On ...