網(wǎng)站建設(shè)公司詳解asp語言建站關(guān)于ASP文件安全設(shè)置方案。網(wǎng)站建設(shè)關(guān)于ASP文件及設(shè)置的安全與否直接關(guān)系到網(wǎng)站的安全。網(wǎng)站建設(shè)公司下面重點(diǎn)討論ASP在安全方面要注意的問題。
（1）維護(hù)Global.asa的安全。為了充分保護(hù)ASP應(yīng)用程序，一定要在應(yīng)用程序的Global.asa文件上為適當(dāng)?shù)挠脩艋蛴脩艚M設(shè)置文件權(quán)限。如果 Global.asa 包含向?yàn)g覽器返回信息的命令而沒有保護(hù) Global.asa 文件，則信息將被返回給瀏覽器。
（2）不要把密碼、物理路徑直接寫在ASP文件中。因?yàn)楹茈y保證ASP程序是否會(huì)被人拿到，即使安裝了最新的補(bǔ)丁。為了安全起見，應(yīng)該把密碼和用戶名保存在數(shù)據(jù)庫中，使用虛擬路徑。
（3）在程序中記錄用戶的詳細(xì)信息。這些信息包括用戶的瀏覽器、用戶停留的時(shí)間、用戶IP等。其中記錄IP是最有用的。
可用下面的語句了解客戶端和服務(wù)器的信息：
如果記錄了用戶的IP，就能夠通過追捕來查明用戶的具體地點(diǎn)。
（4）Cookie 安全性。ASP使用SessionID cookie 跟蹤應(yīng)用程序訪問或會(huì)話期間特定的Web 瀏覽器的信息。這就是說，帶有相應(yīng)的cookie的HTTP請(qǐng)求被認(rèn)為是來自同一Web瀏覽器。Web服務(wù)器可以使用SessionID cookie配置帶有用戶特定會(huì)話信息的ASP應(yīng)用程序。為了防止計(jì)算機(jī)黑客猜中SessionID cookie并獲得對(duì)合法用戶的會(huì)話變量的訪問，Web服務(wù)器為每個(gè)SessionID指派一個(gè)隨機(jī)生成號(hào)碼。每當(dāng)用戶的 Web 瀏覽器返回一個(gè)SessionID cookie時(shí)，服務(wù)器取出SessionID和被賦予的數(shù)字，接著檢查是否與存儲(chǔ)在服務(wù)器上的生成號(hào)碼一致。若兩個(gè)號(hào)碼一致，將允許用戶訪問會(huì)話變量。這一技術(shù)的有效性在于被賦予的數(shù)字的長(zhǎng)度（64位），此長(zhǎng)度使計(jì)算機(jī)黑客猜中SessionID，從而竊取用戶活動(dòng)會(huì)話的可能性幾乎為零。
如果ASP應(yīng)用程序包含私人信息、信用卡或銀行賬戶號(hào)碼，擁有竊取cookie的計(jì)算機(jī)黑客可以在應(yīng)用程序中開始一個(gè)活動(dòng)會(huì)話并獲取這些信息。為了防止截獲用戶SessionIDcookie的計(jì)算機(jī)黑客，可以使用此cookie假冒該用戶，通過對(duì)Web服務(wù)器和用戶瀏覽器間的通信鏈路加密來防止SessionID cookie被截獲。
（5）使用身份驗(yàn)證機(jī)制保護(hù)被限制的ASP內(nèi)容?？梢砸竺總€(gè)試圖訪問被限制的ASP內(nèi)容的用戶必須要有有效的用戶名和密碼。每當(dāng)用戶試圖訪問被限制的內(nèi)容時(shí)，Web服務(wù)器將進(jìn)行身份驗(yàn)證，即確認(rèn)用戶身份。
Web服務(wù)器支持以下幾種身份驗(yàn)證方式。
①基本身份驗(yàn)證，提示用戶輸入用戶名和密碼。
②Windows NT請(qǐng)求/響應(yīng)式身份驗(yàn)證，從用戶的Web瀏覽器通過加密方式獲取用戶身份信息。然而，Web 服務(wù)器僅當(dāng)禁止匿名訪問或Windows NT文件系統(tǒng)的權(quán)限限制匿名訪問時(shí)才驗(yàn)證用戶。
（6）使用SSL維護(hù)應(yīng)用程序的安全。SSL（Secure Sockets Layer）協(xié)議是由Netscape首先發(fā)表的網(wǎng)絡(luò)資料安全傳輸協(xié)定，其首要目的是在兩個(gè)通信間提供秘密而可靠的連接。該協(xié)議由兩層組成，底層是建立在可靠的傳輸協(xié)議（如TCP）上的SSL的記錄層，用來封裝高層的協(xié)議。SSL握手協(xié)議準(zhǔn)許服務(wù)器與客戶端在開始傳輸數(shù)據(jù)前，能夠通過特定的加密算法相互鑒別。SSL的先進(jìn)之處在于它是一個(gè)獨(dú)立的應(yīng)用協(xié)議，其他更高層協(xié)議能夠建立在SSL協(xié)議上。
SSL3.0 協(xié)議作為Web服務(wù)器安全特性，提供了一種安全的虛擬透明方式來建立與用戶的加密通信連接。SSL保證了Web內(nèi)容的驗(yàn)證，并能可靠地確認(rèn)訪問被限制的Web站點(diǎn)的用戶身份。
通過SSL可以要求試圖訪問被限制的 ASP 應(yīng)用程序的用戶與服務(wù)器建立加密連接，以防止用戶與應(yīng)用程序間交換的重要信息被截取。如許多基于Web的ASP論壇都提供注冊(cè)用戶互相發(fā)送信息的服務(wù)，這種信息是明文傳送的，在網(wǎng)吧很容易被人監(jiān)聽到。如果加了一層SSL認(rèn)證，就能防止發(fā)送信息被監(jiān)聽的可能。
（7）客戶資格認(rèn)證?？刂茖?duì)ASP應(yīng)用程序訪問的安全方法是要求用戶使用客戶資格登錄?？蛻糍Y格是包含用戶身份信息的數(shù)字身份證，它的作用與傳統(tǒng)的諸如護(hù)照或駕駛執(zhí)照等身份證明的作用相同。用戶通常從委托的第三方組織獲得客戶資格。第三方組織在發(fā)放資格證之前確認(rèn)用戶的身份信息（通常這類組織要求提供姓名、地址、電話號(hào)碼及所在組織名稱，此類信息的詳細(xì)程度因給予的身份等級(jí)而異）。
每當(dāng)用戶試圖登錄到需要資格驗(yàn)證的應(yīng)用程序時(shí)，用戶的Web瀏覽器就會(huì)自動(dòng)向服務(wù)器發(fā)送用戶資格。如果 Web 服務(wù)器的 Secure Sockets Layer（SSL）資格映射特性配置正確，服務(wù)就可以在許可用戶對(duì)ASP應(yīng)用程序訪問之前對(duì)其身份進(jìn)行確認(rèn)。可以從資格證明中訪問用戶名字段和公司名字段，Active Server Pages在Request對(duì)象的ClientCertificate集合中保存資格信息。必須將Web服務(wù)器配置為接受或需要客戶資格，然后才能通過ASP處理客戶資格。否則，ClientCertificate 集合將為空。
（8）ASP的加密。由于ASP腳本是采用明文方式編寫的，所以開發(fā)出來的ASP應(yīng)用程序一旦發(fā)布到運(yùn)行環(huán)境中后，就很難確保這些“源代碼”不會(huì)被流傳。這樣就產(chǎn)生了如何有效地保護(hù)開發(fā)出來的ASP腳本源代碼的需求。
網(wǎng)站建設(shè)公司資深安全工程師下面介紹幾種ASP源代碼保護(hù)方法。
①官方加密程序。從微軟網(wǎng)站上下載screnc.exe文件對(duì)ASP文件進(jìn)行加密。
②“腳本最小化”，即ASP文件中只編寫盡可能少的源代碼，實(shí)現(xiàn)商業(yè)邏輯的腳本部分被封裝到一個(gè)COM/DCOM組件，并在ASP腳本中創(chuàng)建該組件，進(jìn)而調(diào)用相應(yīng)的方法（methed）即可。應(yīng)用開發(fā)者開發(fā)ASP腳本應(yīng)用之前即可按此思路來開發(fā)，或者直接用ASP腳本快速開發(fā)出原型系統(tǒng)后，針對(duì)需要保護(hù)、加密的重要腳本用COM組件來重新開發(fā)、實(shí)現(xiàn)并替換。
③“腳本加密”，即ASP腳本仍直接按源代碼方式進(jìn)行開發(fā)，但在發(fā)布到運(yùn)行環(huán)境之前將腳本進(jìn)行加密處理，把加密后的密文腳本發(fā)布出去，在ASP.DLL讀取腳本環(huán)節(jié)加入密文還原的處理。
（9）防止SQL注入式漏洞。SQL語言是操作數(shù)據(jù)庫的標(biāo)準(zhǔn)語言，在ASP文件編寫中應(yīng)有相應(yīng)代碼防止此類漏洞。
好了，
深圳網(wǎng)站建設(shè)公司本文關(guān)于“網(wǎng)站建設(shè)公司詳解asp語言建站關(guān)于ASP文件安全設(shè)置方案”就分享到這里。如果您需要深圳網(wǎng)站建設(shè)的公司為您搭建設(shè)計(jì)高端動(dòng)態(tài)網(wǎng)站，請(qǐng)咨詢我們網(wǎng)站在線客服或者撥打我們建站技術(shù)客服聯(lián)系電話，為您提供詳細(xì)的高端動(dòng)態(tài)網(wǎng)站建設(shè)以及安全維護(hù)解決方案。謝謝關(guān)注，博納網(wǎng)絡(luò)編輯整理。
