-public/fixes/cht/security/iis3-datafix/iis3fixi.exe 该补丁是针对 IIS3， Intel 平台 ftp.microsoft.com/bussys/iis/iis-public/fixes/cht/security/iis3-datafix/iis3fixa.exe 该补丁是针对 IIS4， Alpha 平台 ftp.microsoft.com/bussys/iis/iis-public/fixes/cht/security/iis4-datafix/iis4fixi.exe 该补丁是针对 IIS4， Alpha 平台 ftp.microsoft.com/bussys/iis/iis-public/fixes/cht/security/iis4-datafix/iis4fixa.exe c、是在服务器上安装 ie4.01sp1，这个是否有效，作者本人没具体试过。 d、存粹作者的个人意见，尽量安装英文版的 NT，而不要使用中文版，究其原因作者也说不清，只是根据实践经验英文版的 NT 较中文版 bug 少，如果哪位朋友知道原因千万要告诉我。 三 . 支持 ASP 的免费主页空间以及虚拟主机服务的服务器面临的问题 1、服务器上的 ASP 代码很可能被人其他拥有 asp 权限的人非法获取。 举个很简单的例子，在微软提供的 ASP1.0 的例程里有一个 .asp 文件专门用来查看其它 .asp 文件的源代码，该文件为 ASPSamp/Samples/code.asp。如果有人把这个程序上传的服务器，而服务器端没有任何防范措施的话，他就可以很容易地查看他人的程序。 例如 : code.asp?source=/directory/file.asp 2、使用的 ACCESS mdb 数据库可能被人下载一般来说在提供 asp 权限的免费主页服务器上不可能提供代为设定 DSN 的服务，因此 asp 程序使用的数据库通常都局限在使用 mdb 库，而 mdb 远端数据库所在的位置是使用我们在第十四期中讲到过的 DSN-less 方法直接在 asp 中指定的，方法如下 :
< %connstr = "DBQ="+server.mappath("database/source.mdb")+";DefaultDir=;DRIVER={Microsoft Access Driver (*.mdb)};DriverId=25;FIL=MS Access;ImplicitCommitSync=Yes;MaxBufferSize=512;MaxScanRows=8;PageTimeout=5; SafeTransactions=0;Threads=3;UserCommitSync=Yes;"%> 正如前文所言，在这种情况下 mdb 库很可能被他人下载，从而造成诸如密码等的泄露。 所以，作为 webmaster 应该采取一定的措施，严禁 code.asp 之类的程序（似乎很难办到 , 但可以定期检索特征代码），限制 mdb 的下载。 3、来自强大的 filesystemobject 组件的威胁 IIS3、 IIS4 的 ASP 的文件操作都可以通过 filesystemobject 实现，包括文本文件的读写目录操作、文件的拷贝改名删除等，但是这个强大的功能也留下了非常危险的“后门”。利用 filesystemobjet 可以篡改下载 fat 分区上的任何文件。即使是 ntfs 分区，如果权限没有设定好的话，同样也能破坏，一不小心你就可能遭受“灭顶之灾”。遗憾的是很多 webmaster 只知道让 web 服务器运行起来，很少对 ntfs 进行权限设置，而 NT 目录权限的默认设置偏偏安全性又低得可怕。因此，如果你是 Webmaster，作者强烈建议你密切关注服务器的设置，尽量将 web 目录建在 ntfs 分区上，目录不要设定 everyone full control，即使是是管理员组的成员一般也没什么必要 full control，只要有读取、更改权限就足够了。 四、 ASP 应用程序可能面临的攻击过去许多 Internet 上 CGI 写的留言本或 BBS 是把客户输入的留言变为一个变量，然后再把这个变量插入到显示留言的
2/2 首页 上一页 1 2 |
