有關(guān)ASP+ ACCESS網(wǎng)站安全的思考

摘要：文章著重論述了網(wǎng)站維護(hù)的過程中，尤其是針對(duì)ASP+ACCESS網(wǎng)站安全的一些個(gè)人的思考。

關(guān)鍵詞：網(wǎng)站安全；數(shù)據(jù)庫；防護(hù)

一、引言

在高校中，簡(jiǎn)單的ASP+ACCESS網(wǎng)站仍是大多數(shù)人的選擇。ASP作為一種較簡(jiǎn)單的編程語言，一來網(wǎng)上的資源比較多，二來在維護(hù)起來也比較方便，ACCESS就更容易了，它等于是數(shù)據(jù)庫的入門級(jí)，條目清楚，結(jié)構(gòu)簡(jiǎn)便，但是這種方便就帶來了安全的隱患，如何保證后臺(tái)數(shù)據(jù)庫的安全，我們需要好好的思考一下。

二、保護(hù)ACCESS數(shù)據(jù)庫的幾種方法

（一）通過更優(yōu)化的命名方法

目前，黑客只要通過查找網(wǎng)站中固定的幾個(gè)文件，如conn.asp，inc/conn.asp，就可以從中查找到有關(guān).mdb的信息，稍微對(duì)應(yīng)一下目錄，就可以將整個(gè)數(shù)據(jù)庫完整的下載下來，這樣，我們對(duì)數(shù)據(jù)庫的安全就無從說起。有些人為了好記，通常會(huì)將數(shù)據(jù)庫的中文意思，按照大寫字母的順序進(jìn)行命名，如“人事系統(tǒng)”，會(huì)命名為rsxt.mdb，或者干脆為了方便，直接命名為data.mdb，123.mdb，另外，存放數(shù)據(jù)庫的文件夾的命名，一般以data，database居多，并且將其放在主目錄下面，很容易找到，更安全的做法是將它藏得深一點(diǎn)，放置在主目錄下的多層目錄中，命名也復(fù)雜一點(diǎn)為好。

在數(shù)據(jù)庫連接文件conn.asp中常常出現(xiàn)下例：

DBPath=Server.MapPath（“abbkeitu／kjh44w1／ddc／apke　／fass9228ba1．mdb”）conn.　Open”driver={Microsoft　Access　Driver　（　.mdb）}；dbq=”＆　DBPath

這個(gè)mdb文件的命名真是復(fù)雜啊，但是如果conn.asp被下載了，找到這個(gè)數(shù)據(jù)庫是非常容易的事，所以可以的話，還是利用ODBC數(shù)據(jù)源，即使conn.asp被盜，也只能得到數(shù)據(jù)源的名字而非原始數(shù)據(jù)庫的名字。

（二）讓寫入ACCESS的數(shù)據(jù)進(jìn)行加密

不知道大家發(fā)現(xiàn)沒有，有些ACCESS字段，如password，會(huì)是一串經(jīng)過加密后的文字，看也看不懂，這是怎么做到的呢？現(xiàn)今經(jīng)常采用的是md5的加密算法，此算法將你原始的密碼，進(jìn)行一系列比對(duì)，轉(zhuǎn)換，再寫入數(shù)據(jù)庫，這樣做的好處是，正向算法不算太麻煩，但是逆向去推卻是不可能的，最大程度上保障了用戶密碼的安全。

（三）改變一下放置數(shù)據(jù)庫的位置

在被黑客攻擊過幾次后，我做過如下嘗試，就是將數(shù)據(jù)庫的位置搬到wwwroot外面來。設(shè)置主web服務(wù)器和備份服務(wù)器，data文件夾和wwwroot文件夾為同一級(jí)，備份服務(wù)器只限于單位內(nèi)訪問，所有的后臺(tái)添加全部在備份服務(wù)器上完成，通過定時(shí)的備份文件，將備份服務(wù)器的數(shù)據(jù)傳送至主web服務(wù)器上，主web服務(wù)器上關(guān)掉所有后臺(tái)添加的入口，經(jīng)過這樣的處理過后，主web服務(wù)器再也沒被攻擊過。

（四）提防網(wǎng)頁掛馬

現(xiàn)在的黑客真是無孔不入，令人很頭疼，網(wǎng)頁掛馬這種現(xiàn)象也出現(xiàn)過一次，亂七八糟的代碼寫在每個(gè)asp文件的后面，也有代碼寫入了ACCESS數(shù)據(jù)庫。要防止這種情況，首先要做的就是備份數(shù)據(jù)庫。有些網(wǎng)站要放在外面租用的空間上，那FTP上傳文件的密碼也要設(shè)得復(fù)雜一些，最好10位20位的。網(wǎng)頁被掛馬說直接點(diǎn)，大部分是網(wǎng)頁代碼的問題，黑客可以利用特定的參數(shù)向數(shù)據(jù)庫中寫入掛馬鏈接，另外，上傳附件如要求不嚴(yán)格的話，也極易造成漏洞，讓黑客上傳了木馬文件，導(dǎo)致整個(gè)網(wǎng)站面目全非。因此，要提防網(wǎng)頁掛馬，就是要仔細(xì)比對(duì)網(wǎng)頁代碼，不要留下特別明顯的漏洞，關(guān)閉掉web服務(wù)器上不用的端口及服務(wù)程序，要用的時(shí)候再一個(gè)一個(gè)的開，有條件的話，在web服務(wù)器上裝網(wǎng)頁防篡改系統(tǒng)，又給了網(wǎng)站另一層保護(hù)。

（五）殺毒軟件要經(jīng)常更新

這是最基本的一點(diǎn)，web服務(wù)器上肯定要裝上殺毒軟件，保持殺毒軟件保持在最新的狀態(tài)，定期對(duì)服務(wù)器進(jìn)行全面掃描，將木馬啊，病毒啊及時(shí)的查找出來。防火墻也是必要的手段，一般來講，在服務(wù)器上都會(huì)裝上硬件防火墻，它的功用大大超過軟件防火墻。

三、結(jié)語

網(wǎng)站的安全，在很大程度上，不僅僅是技術(shù)的問題，更大程度上，是管理的問題，對(duì)網(wǎng)站進(jìn)行合理有序的管理與維護(hù)，是我們網(wǎng)絡(luò)安全管理員必須要做的。隨著社會(huì)的進(jìn)步，網(wǎng)站的管理手段也會(huì)越來越好，有更好的管理軟件，我們要善于利用去做好網(wǎng)站的防護(hù)。

參考文獻(xiàn)：

[1]劉文才；袁媛.也談提高ASP+Access網(wǎng)站數(shù)據(jù)庫安全性對(duì)策[J].科技與生活，2009（21）.

（作者簡(jiǎn)介：陳杏黎（1981-），女，江蘇南通人，南通航運(yùn)職業(yè)技術(shù)學(xué)院現(xiàn)代教育技術(shù)中心助理實(shí)驗(yàn)師。）