首頁 > 文章中心 > 正文

      ASP應用程序安全性

      前言:本站為你精心整理了ASP應用程序安全性范文,希望能為你的創作提供參考價值,我們的客服老師可以幫助你提供個性化的參考范文,歡迎咨詢。

      論文關鍵字:ASP安全性Web服務器

      論文摘要:正確配置安全設置,以保護您的ASP應用程序不被未授權的用戶訪問和篡改。該文提供了多種維護ASP應用程序的方法。

      ASP是位于服務器端的腳本運行環境,通過這種環境,用戶可以創建和運行動態的交互式Web服務器應用程序。ASP使用的ActiveX技術基于開放設計環境,用戶可以自己定義和制作組件加入其中,使自己的動態網頁幾乎具有無限的擴充能力。ASP還可利用ADO方便快捷地訪問數據庫,從而使得開發基于WWW的應用系統成為可能。但是,千萬不要輕視正確配置安全設置的重要性。如果不正確配置安全設置,不但會使您的ASP應用程序遭受不必要的篡改,而且會妨礙正當用戶訪問您的asp文件。Web服務器提供了各種方法,保護您的ASP應用程序不被未授權的用戶訪問和篡改。

      1NTFS權限

      您可以通過單獨的文件和目錄應用NTFS訪問權限來保護ASP應用程序文件。NTFS權限是Web服務器安全性的基礎,它定義了一個或一組用戶訪問文件和目錄的不同級別。當擁有WindowsNT有效帳號的用戶試圖訪問一個有權限限制的文件時,計算機將檢查文件的訪問控制表。該表定義了不同用戶和用戶組所被賦予的權限。如果用戶的帳號具有打開文件的權限,計算機則允許該用戶訪問文件。

      2維護Globalasa的安全

      為了充分保護ASP應用程序,一定要在應用程序的Globalasa文件上為適當的用戶或用戶組設置NTFS文件權限。如果Globalasa包含向瀏覽器返回信息的命令而您沒有保護Globalasa文件,則信息將被返回給瀏覽器,即便應用程序的其他文件被保護。而且,一定要對應用程序的文件應用統一的NTFS權限。

      3Web服務器權限

      可以通過配置的Web服務器的權限來限制所有用戶查看、運行和操作的ASP頁的方式。不同于NTFS權限提供的控制特定用戶對應用程序文件和目錄的訪問方式,Web服務器權限應用于所有用戶,并且不區分用戶帳號的類型。對于要運行您的ASP應用程序的用戶,在設置Web服務器權限時,必須遵循下列原則:

      對包含asp文件的虛擬目錄允許“讀”或“腳本”權限;對asp文件和其他包含腳本的文件所在的虛目錄允許“讀”或“腳本”權限;對包含asp文件和其他需要“執行”權限才能運行的文件的虛目錄允許“讀”和“執行”權限。

      4腳本映射文件

      應用程序的腳本映射保證了Web服務器不會意外地下載asp文件的源代碼。例如,即使您為包含了某個asp文件的目錄設置了“讀”權限,只要該asp文件隸屬于某個腳本映射應用程序,那么您的Web服務器就不會將該文件的源代碼返回給用戶。

      5Cookie安全性

      ASP使用SessionIDcookie跟蹤應用程序訪問或會話期間特定的Web瀏覽器的信息。這就是說,帶有相應的cookie的HTTP請求被認為是來自同一Web瀏覽器。Web服務器可以使用SessionIDcookies配置帶有用戶特定會話信息的ASP應用程序。

      5.1SessionID能否被黑客猜中

      為了防止計算機黑客猜中SessionIDcookie并獲得對合法用戶的會話變量的訪問,Web服務器為每個SessionID指派一個隨機生成號碼。

      每當用戶的Web瀏覽器返回一個SessionIDcookie時,服務器取出SessionID和被賦予的數字,接著檢查是否與存儲在服務器上的生成號碼一致。若兩個號碼一致,將允許用戶訪問會話變量。這一技術的有效性在于被賦予的數字的長度(64位),此長度使計算機黑客猜中SessionID從而竊取用戶的活動會話的可能性幾乎為0。

      5.2加密重要的SessionIDCookie

      截獲了用戶sessionIDcookie的計算機黑客可以使用此cookie假冒該用戶。如果ASP應用程序包含私人信息,信用卡或銀行帳戶號碼,擁有竊取的cookie的計算機黑客就可以在應用程序中開始一個活動會話并獲取這些信息。您可以通過對您的Web服務器和用戶的瀏覽器間的通訊鏈路加密來防止SessionIDcookie被截獲。6使用身份驗證機制保護被限制的ASP內容

      您可以要求每個試圖訪問被限制的ASP內容的用戶必須要有有效的WindowsNT帳號的用戶名和密碼。每當用戶試圖訪問被限制的內容時,Web服務器將進行身份驗證,即確認用戶身份,以檢查用戶是否擁有有效的WindowsNT帳號。Web服務器支持以下幾種身份驗證方式:

      6.1基本身份驗證提示用戶輸入用戶名和密碼

      WindowsNT請求/響應式身份驗證從用戶的Web瀏覽器通過加密方式獲取用戶身份信息。然而,Web服務器僅當禁止匿名訪問或WindowsNT文件系統的權限限制匿名訪問時才驗證用戶身份。

      6.2保護元數據庫

      訪問元數據庫的ASP腳本需要Web服務器所運行的計算機的管理員權限。在從遠程計算機上運行這些腳本時,須經已通過身份驗證的連接,如使用WindowsNT請求/響應驗證方式進行連接。應該為管理級asp文件創建一個服務器或目錄并將其目錄安全驗證方式設置為WindowsNT請求/響應式身份驗證。目前,僅MicrosoftInternetExplorerversion20或更高版本支持WindowsNT請求/響應式身份驗證。

      7使用SSL維護應用程序的安全

      SSL協議作為Web服務器安全特性,提供了一種安全的虛擬透明方式來建立與用戶的加密通訊連接。SSL保證了Web內容的驗證,并能可靠地確認訪問被限制的Web站點的用戶的身份。

      7.1通過SSL可以被限制的程序

      (1)通過SSL,您可以要求試圖訪問被限制的ASP應用程序的用戶與您的服務器建立一個加密連接;以防用戶與應用程序間交換的重要信息被截取。

      7.2維護包含文件的安全

      如果您從位于沒有保護的虛擬根目錄中的asp文件中包含了位于啟用了SSL的目錄中的文件,則SSL將不被應用于被包含文件。因此,為了保證應用SSL,應確保包含及被包含的文件都位于啟用了SSL的目錄中。

      7.3客戶資格認證

      控制對您的ASP應用程序訪問的一種十分安全的方法是要求用戶使用客戶資格登錄。客戶資格是包含用戶身份信息的數字身份證。用戶通常從委托的第三方組織獲得客戶資格,第三方組織在發放資格證之前確認用戶的身份信息。每當用戶試圖登錄到需要資格驗證的應用程序時,用戶的Web瀏覽器會自動向服務器發送用戶資格。如果Web服務器的SSL資格映射特性配置正確,那么服務器就可以在許可用戶對ASP應用程序訪問之前對其身份進行確認。

      8創建事務性腳本

      應用程序常常需要具有在事務內部運行腳本和組件的能力。事務是一種服務器操作,即使該操作包括很多步驟,也只能整體返回操作是成功還是失敗。用戶可以創建在事務內部運行的ASP腳本,如果腳本的任何一部分失敗,整個事務都將會終止。

      文檔上傳者
      亚洲av女电影网| 亚洲av之男人的天堂网站| 亚洲精品在线播放| 亚洲国产婷婷六月丁香| 亚洲午夜精品久久久久久浪潮 | 亚洲国产一级在线观看| 日韩国产欧美亚洲v片| 亚洲乱理伦片在线观看中字| 亚洲熟妇成人精品一区| 狠狠色香婷婷久久亚洲精品| 亚洲一级视频在线观看| 亚洲AV色吊丝无码| 亚洲精品国产国语| 亚洲日韩AV无码一区二区三区人| 久久综合久久综合亚洲| 亚洲色大成网站www永久男同| 美女视频黄免费亚洲| 亚洲色丰满少妇高潮18p| 亚洲一卡一卡二新区无人区| 97久久国产亚洲精品超碰热| 中文字幕亚洲男人的天堂网络 | 亚洲一区二区三区免费在线观看 | 亚洲理论精品午夜电影| 亚洲综合男人的天堂色婷婷| 亚洲视频小说图片| 亚洲国产精品无码久久久| 亚洲一级黄色大片| 亚洲熟妇自偷自拍另欧美| 亚洲国产午夜精品理论片在线播放| 色婷婷六月亚洲综合香蕉| 亚洲狠狠爱综合影院婷婷| 中文字幕精品亚洲无线码一区应用| 亚洲中文字幕第一页在线| 久久青青成人亚洲精品| 亚洲欧洲精品久久| 亚洲中文字幕久久精品无码A | 午夜亚洲国产理论秋霞| 亚洲视频在线观看不卡| 亚洲av永久无码精品三区在线4| 67194在线午夜亚洲| 亚洲国产无线乱码在线观看|