2024年6月21日发(作者：)

大理学院学报　

Ｊ０ＵＲＮＡＬ　ＯＦ　ＤＡＬＩ　ＵＮｌＶＥＲＳＩＴＹ　

第７卷第１２期２００８年１２月　

ＶＯｌ　７　Ｎｏ１２　Ｄｅｃ．２ｏ０８　

基于Ａｃｃｅｓｓ的ＡＳＰ网上应用系统的安全隐患及对策　

陈建华　

（大理学院教学科研服务中心，云南大理６７１００３）　

［摘要］基于Ａｃｃｅｓｓ数据库的Ａｓ瞰术已经被广泛应用在电子商务、校园网等各种互联网中的实际，通过对　

Ａｃｃｅｓｓ存储隐患、Ａｃｃｅｓｓ解密隐患、ＳＱＬ注入攻击隐患以及源代码安全性隐患的分析，给出了相应的解决对　

策，使ＡＳＰ＋Ａｃｃｅｓｓ上应用系统的安全性得到有效保证。　

［关键词］隐患；对策；ｓＱＬ注入；加密；解密　

［中图分类号］ＴＰ３１１．１３１［文献标识码］Ｂ［文章编号］１６７２—２３４５（２００８）１２—００７２—０３　

Ｔｈｅ　Ｓｅｃｕｒｉｔｙ　Ｉｓｓｕｅｓ　ａｎｄ　ｏｆ　ＡＳＰ　Ｏｎｌｉｎｅ　Ａｐｐｌｉｃａｔｉｏｎ　Ｓｙｓｔｅｍ　Ｂａｓｅｄ　ｏｎ　Ａｃｃｅｓｓ　ａｎｄ　ｔｈｅｉｒ　Ｓｏｌｕｔｉｏｎｓ　

ＣＨＥＮ　Ｊｉａｎｈｕａ　

（Ｃｅｎｔｒｅ　ｆｏｒ　Ｔｅａｃｈｉｎｇ　ａｎｄ　Ｒｅｓｅａｒｃｈ　Ｓｅｒｖｉｃｅｓ，Ｄａｌｉ　Ｕｎｉｖｅｒｓｉｔｙ，Ｄａｌｉ，Ｙｕｎｎａｎ　６７１００３，Ｃｈｉｎａ）　

［Ａｂｓｔｒａｃｔ］Ｔｈｅ　ＡＳＰ　ｔｅｃｈｎｏｌｏｇｙ　ｂａｓｅｄ　ｏｎ　Ａｃｃｅｓｓ　ｈａｓ　ｂｅｅｎ　ｗｉｄｅｌｙ　ｕｓｅｄ　ｉｎ　ｅ—ｃｏｍｍｅｒｃｅ，ｃａｍｐｕｓ　ｎｅｔｗｏｒｋ　ａｎｄ　ｏｔｈｅｒ　Ｉｎｔｅｒｎｅｔ　

ｅｎｖｉｒｏｎｍｅｎｔ．Ｔｈｉｓ　ｐａｐｅｒ　ａｎａｌｙｚｅｓ　ｔｈｅ　ｈｉｄｄｅｎ　ｓｅｃｕｒｉｔｙ　ｉｓｓｕｅｓ　ｏｆ　Ａｃｃｅｓｓ　ｓｔｏｒａｇｅ　ａｎｄ　ｄｅｃｉｐｈｅｒ，ｔｈｅ　ｈｉｄｄｅｎ　ｓｅｃｕｒｉｔｙ　ｉｓｓｕｅｓ　ｏｆ　ＳＱＬ　

ｉｎｊｅｃｔｉｏｎ　ａｔｔａｃｋｓ，ａｎｄ　ｔｈｅ　ｈｉｄｄｅｎ　ｓｅｃｕｒｉｔｙ　ｉｓｓｕｅｓ　ｏｆ　ｓｏｕｒｃｅ　ｃｏｄｅｓ．Ｔｏ　ｔｈｅ　ｐｒｏｂｌｅｍｓ，ｗｅ　ｐｒｅｓｅｎｔ　ｔｈｅ　ｓｏｌｕｔｉｏｎｓ　ｔｏ　ｇｕａｒａｎｔｅｅ　ｔｈｅ　ｓｅｃｕｒｉｔｙ　

ｏｆ　ｏｎｌｉｎｅ　ａｐｐｌｉｃａｔｉｏｎ　ｓｙｓｔｅｍ　ｔｈａｔ　ｉｓ　ｂａｓｅｄ　ｏｎ　ＡＳＰ　ａｎｄ　Ａｃｃｅｓｓ．　

［Ｋｅｙ　ｗｏｒｄｓ］ｈｉｄｄｅｎ　ｓｅｃｕｒｉｔｙ　ｉｓｓｕｅｓ；ｓｏｌｕｔｉｏｎｓ；ＳＱＬ　ｉｎｊｅｃｔｉｏｎ；ｅｎｅｒｙｐｔ；ｄｅｃｉｐｈｅｒ　

Ｗｅｂ技术随着Ｉｎｔｅｒｎｅｔ技术的发展而不断向前　

发展。目前，许多中小型网上应用系统都选用ＡＳＰ与　

ｃｅｓｓ数据库的完整路径，然后再将数据库下载，查看　

数据库中的管理员数据，再登录网站后台修改后台　

数据就是水到渠成的事了。因此，有效防止Ａｃｃｅｓｓ数　

据库被下载是提高ＡＳＰ和Ａｃｃｅｓｓ应用系统安全性的　

关键。　

１．２防止Ａｃｃｅｓｓ数据库被下载的安全对策　

Ａｃｃｅｓｓ相结合的方案。此方案在为我们带来便捷的　

同时，也带来了不容忽视的安全问题。ＡＳＰ＋Ａｃｃｅｓｓ　

网上应用系统的主要安全隐患来自Ａｃｃｅｓｓ数据库的　

安全性及ＡＳＰ网页设计过程中的安全漏洞。　

１　Ａｃｃｅｓｓ存储隐患及其对策　

１．１　Ａｃｃｅｓｓ数据库的存储隐患在ＡＳＰ＋Ａｃｃｅｓｓ应　

１．２．１　非常规命名法　为防止数据库被下载的简　

便方法就是为Ａｃｃｅｓｓ数据库文件起一个复杂的非常　

规名字，并把它存放在多层目录下。例如，我们在做　

一

用系统中，大多情况下，网站的数据库链接路径都　

是放置在ｉｎｃ文件夹下的ｃｏｎｎ．ａｓｐ中，ｃｏｎｎ．ａｓｐ文件的　

下载路径一般是ｈｔｔｐ：／／域名／ｉｎｃ／ｃｏｎｎ．ａｓｐ。对于攻击　

个网站时，如果把实现新闻发布的数据库命名为　

ｎｅｗｓ．ｍｄｂ”，那么很容易被猜到，我们可以给它改一　

“

者而言只需要将这个文件下载后就可以找到其Ａｃ—　

［收稿日期］２００８—０５—２７　

个复杂的名字，再把它放在多层目录下。当然，也可　

［作者简介］陈建华（１９７９一），女，云南鹤庆人，助教，主要从事计算机教学研究　

７２　

总第６０期　陈建牮基子Ａｃｅｅｓｓ的ＡＳＰ网上应用系统的安全隐患及对策　第７誊　

以开辟一个新的虚拟目录，存放重要的数据库文　

件。这样非法用户想通过猜文件名的方式得￣１］Ａｃ—　

台。如果觉得这种加密不是足够安全，那么可以进　

行二次或多次反复加密。　

ｃｅｓｓ

数据库几乎是不可能。　

１．２．２将数据库文件的扩展名改为，ａｓｐ此方法是　

目前应用中使用得比较多的。其原理是利用ＩＩＳ对文　

件的解释执行操作来达到保护的目的。当用户访问　

一

个以．ａｓｐ为后缀名的文件时，ＩＩＳ需要在返回前对　

其进行解释执行的操作。而实际上这些文件是ｍｄｂ　

格式的Ａｃｃｅｓｓ数据库文件，因此ＩＩＳ将返回一个　

“Ｈ１ＴｒＰ５００服务器错误”…。　

１．２．３数据库名前加“＃”　因为下载的时候只能识　

别＃号前的部分，对于后面的字符会自动去掉，这样　

数据库是不可能被下载的［２］。　

１．２．４使用ＯＤＢＣ数据源在ＡＳＰ程序设计中，应尽　

量使用ＯＤＢＣ数据源，这样可以防止数据库文件地　

址被暴露。而不要把数据库名直接写在程序中，否　

则，ＡＳＰ源代码一旦被获得，数据库也就不再安全　

了。　

除此之外，将数据库文件放在ｗｅｂ目录外也是　

一

种防止数据库被下载的方法。　

２　Ａｃｃｅｓｓ数据库的解密隐患及其对策　

２．１　Ａｃｃｅｓｓ数据库的解密隐患　由于Ａｃｃｅｓｓ数据库　

的加密机制非常简单，所以即使数据库设置了密　

码，解密也很容易。该数据库系统通过将用户输入　

的密码与某一固定密钥进行异或来形成一个加密　

串，并将其存储在　．ｍｄｂ文件中从地址“＆Ｈ４２”开始　

的区域内。由于异或操作的特点是“经过两次异或　

等于原值”，３］，因此，用这一密钥与　．ｍｄｂ文件中的　

加密串进行第二次异或操作，就可以轻松地得到　

Ａｃｃｅｓｓ数据库的密码。因此，无论是否设置了数据库　

密码，只要数据库被下载，其信息就没有安全性可　

一—一　

日Ｊ　Ｏ　

２．２防止Ａｃｃｅｓｓ数据库被解密的安全对策　防止　

Ａｃｃｅｓｓ数据库被解密，可以使用加密算法来保障数　

据库的安全。目前在ＡＳＰ中用得比较多的是使用　

ＭＤ５对密码加密（　，这种算法目前有１６位和３２位两　

种，同时这种算法是不可逆的，如果密码足够强健，　

加密之后即便是别人知道了加密数据也不能解密。　

这样，即使攻击者下载了数据库，也未必能进入后　

３　ＳＱＬ注入攻击隐患及其对策　

３．１　ＳＱＬ注入攻击隐患所谓ＳＱＬ注入就是利用程　

序员对用户输入数据合法性检测不严或者不检测　

的特点，故意从客户端提交特殊的代码，从而收集　

程序及数据库的信息来获取想要得到的资料。通常　

攻击者的目标是获取网站管理员的账号和密码。　

ＳＱＬ注入不仅可能使计算机用户的敏感的数据库信　

息被非法浏览、修改和删除，甚至可能使用户的服　

务器被黑客控制，从而严重威胁网络安全［５］。ＳＱＬ　

注入攻击有一种常见的形式就是构造特殊字符使　

其产生不安全的ＳＱＬ指令，从而威胁网络安全。比　

如：我们在设计一个具有访问权限的登录页面时，　

在登录验证中一般会使用以下ｓＱＬ语句：　

ｓｑｌ：”ｓｅｌｅｃｔ　ｆｒｏｍ　ｕｓｅｒｓ　ｗｈｅ￣：ｅ　ｕｓｅｒｎａｍｅ＝”’　

＆ｕｓｅｒｎａｍｅ＆…ａｎｄ　ｐａｓｓｗｏｒｄ＝”’＆ｐａｓｓｗｏｒｄ＆…”此时，　

攻击者会根据ＳＱＬ构造一个特殊的用户名和密码，　

如：ｘｙｚ～ｏｒ　１’＝’１，于是，程序就会变成这样：ｓｑｌ＝”ｓｅｌｅｃｔ　

ｒｆｏｍ　ｕｓｅｒｓ　ｗｈｅｒｅ　ｕｓｅｒｎａｍｅ＝’ｘｙｚ’ｏｒ’１’＝’１’ａｎｄ　Ｐａｓｓ－　

ｗｏｒｄ＝＇　ｐａｓｓｗｏｒｄ…，那么原语句的“ａｎｄ”验证将不再继　

续，而因为“１＝１”和“ｏｒ”令语句返回值始终为真，数　

据库将返回ｕｓｅｒｓ表格中的所有记录，ＡＳＰ脚本将会　

因此而误认为攻击者的输入符合ｕｓｅｒｓ表格中的第　

一

条记录，从而允许攻击者以该用户的名义进入本　

来没有特权的页面。　

ＳＱＬ注人攻击还有另一种形式，它发生在ＡＳＰＪ］￣　

务器根据ｑｕｅｒｙｓｔｒｉｎｇ参数动态生成网页时。比如：一　

个ＡＳＰ页面从ＵＲＬ中提取出ｑｕｅｒｙｓｔｒｉｎｇ参数中的ＩＤ　

值，然后根据ＩＤ值来显示特定ＩＤ值的文章的内容，　

有这样的ＳＱＬ指令代码：ｓｑｌ＝”ｓｅｌｅｃｔ　ｆｒｏｍ　ａｒｔｉｃｌｅｓ　

ｗｈｅｒｅ　ＩＤ－－”＆ＩＤ，而ＩＤ值是由ＵＲＬ中的ｑｕｅｒｙｓｔｒｉｎｇ参　

数指定的，那么，当ＵＲＬ为：ｈｔｔｐ：／／ｗｗｗ．ｅｘａｍｐｌｅ．ｃｏｒｎ／　

ａｒｔｉｃｌｅ．ａｓｐ？ＩＤ＝１０５５ｔｔ￣，，ＡＳＰ就会根据ＩＤ为１０５５的文　

章提供的内容生成页面。而攻击者如果把ＵＲＬ换成：　

ｈｔｔｐ：／／ｗｗｗ．ｅｘａｍｐｌｅ．ｃｏｍ／ａｒｔｉｃｌｅ．ａｓｐ？ＩＤ＝０　ｏｒ　１＝１，就　

会诱使ＡＳＰ脚本生成不安全的ＳＱＬ指令代码：ｓｅｌｅｃｔ　

ｒｆｏｍ　ａｒｔｉｃｌｅｓ　ｗｈｅｒｅ　ＩＤ＝０　ｏｒ　１＝１，于是，数据库将会　

返回所有文章的内容，更有甚者，攻击者还会用同　

７３　

总第６０期自然科学　

样的手段发送ＤＥＬＥＴＥ等ＳＱＬ指令，通过“ｈｔｔｐ：／／　

ｗｗｗ．ｅｘａｍｐｌｅ．ｃｏｒｎ／ａｒｔｉｃｌｅ．ａｓｐ？ＩＤ＝１　０５５：ｄｅｌｅｔｅ　ｆｒｏｍ　

ａｒｔｉｃｌｅｓ”之类的ＵＲＬ来访问Ｗｅｂ网站，导致数据库中　

的数据被删除。　

３．２防止ＳＱＬ注入攻击的安全对策要防止上述　

两种攻击行为，可采用以下两种方法：①是禁止引　

号之类的非法字符输入　６］。在登录页面的例子中，脚　

本期望得到的两个输入变量（ｕｓｅｍａｍｅ和ｐａｓｓｗｏｒｄ）　

均为字符串类型。无论用户在哪个参数中插入单引　

号，都可能让数据库执行单引号中的ＳＱＬ指令。为了　

杜绝此类ＳＱＬ注入攻击，可以借助Ｒｅｐｌａｃｅ函数剔除　

单引号，可输入以下的代码来解决：ｕｓｅｒｎａｍｅ＝Ｒｅｐｌａｃｅ　

（Ｒｅｑｕｅｓｔ．Ｆｏｒｍ（”ｕｓｅｒｎａｍｅ”），…”，…’），ｐａｓｓｗｏｒｄ＝Ｒｅ—　

ｐｌａｃｅ（Ｒｅｑｕｅｓｔ．Ｆｏｒｍ（”ｐａｓｓｗｏｒｄ”），…”，…’）。②是限定　

输入域的内容必须属于某种数据类型。在第二个例　

子中，脚本期望的输入变量是长整型变量（ＩＤ）。用　

户可以通过在ＩＤ参数中插入特殊字符来运行不安　

全的ＳＱＬ指令。为了杜绝此类ＳＱＬ注入攻击，我们只　

需要借助ＣＬｎｇ函数限制ＩＤ值为长整型变量就可以　

了。代码为：ＩＤ＝ＣＬｎｇ（Ｒｅｑｕｅｓｔ（”ＩＤ”）），当用户试图　

在ＩＤ中包含特殊字符时，ＣＬｎｇ就会产生一个错误。　

４源代码安全性隐患及其对策　

４．１　源代码安全性隐患ＡＳＰ程序的非编译性大　

大降低了程序源代码的安全性。只要进人站点的人　

就可以获得ＡＳＰ程序源代码。　

４．２防止源代码泄露的对策　为有效地防止ＡＳＰ　

源代码泄露，可以对ＡＳＰ页面进行加密。目前对ＡＳＰ　

页面加密的方法有三种：脚本编码器（ＳＲＣＥＮＣ．　

ＥＸＥ）加密、组件加密、自编程序加密。　

４．２．１脚本编码器加密脚本编码器加密是指使　

用微软提供的脚本编码器Ｓｃｒｉｐｔ　Ｅｎｃｏｄｅｒ进行加密，　

这是一个简单的命令行工具，其执行文件是ＳＲ—　

ＣＥＮＣ．ＥＸＥ，需要在ＤＯＳ下运行。加密的命令格式　

为：ＳＲＣＥＮＣ［／ｓ］［／ｆ］［／ｘ１］［／１：ｄｅｆＬａｎｇｕａｇ］［／ｅ：ｄｅｆＥｘ—　

ｔｅｎｓｉｏｎ］ｉｎｐｕｆｆｉｌｅ　ｏｕｔｐｕｔｉｆｌｅ。　

其中的参数含义如下：　

Ｓ：屏蔽屏幕输出；　

ｆ：指定输出文件是否覆盖同名输入文件；　

７４　

大理学院学报　

ｘｌ：是否在．ａｓｐ文件的顶部添￣Ｉ＠Ｌａｎｇｕａｇｅ指令；　

ｌ：ｄｅｆＬａｎｇｕａｇ指定缺省的脚本语言；　

ｅ：ｄｅｆＥｘｔｅｎｓｉｏｎ指定待加密文件的扩展名。　

４．２．２组件加密　用脚本编码器加密过的程序，是　

可以解密的，如果想彻底保护自己的ＡＳＰ代码，可用　

开发ａｃｔｉｖｅｘ　ｄｌｌ组件的方法进行保护。　

Ｄｌｌ文件是被编译过的机器代码，如果没有源项　

目文件，是不可能被反编译的，所以组件加密这种　

方法最安全，也不可能被破解。　

４．２．３　自己编写加密程序组件加密方法虽然不　

可破解，但是要求熟悉ＶＢ编程，需要把ＡＳＰ代码改　

写成ＶＢ组件，工作量很大，所以我们可以自己编写　

加密程序来保护ＡＳＰ代码，其基本思路是：写一个加　

密函数ｂａｓｅ６４Ｅｎｃｏｄｅ和解密函数ｂａｓｅ６４Ｄｅｃｏｄｅ，先用　

加密函数处理（要保护的ａｓｐ代码），得到对应的密文　

ｈｕ；然后再用ｅｘｅｃｕｔｅ（ｂａｓｅ６４Ｄｅｃｏｄｅ（ｈｕ））替换（欲保　

护的ａｓｐ代码）。　

５　结束语　

综上所述，我们可以通过多种途径和手段来防　

止ＡＳＰ结合Ａｃｃｅｓｓ数据库应用中安全隐患的发生，　

以上是笔者在ＡＳＰ＋Ａｃｃｅｓｓ开发过程中的一些经验　

总结。在平时的校园网站维护中就采用了以上的安　

全对策，从一段时间的运行情况来看，达到较好的　

安全效果。　

［参考文献］　

［１］邵纯，黄上腾．ＩＩｓ下Ａｃｃｅｓｓ数据库的安全性分析与策略　

［Ｊ］．计算机应用与软件，２００６，２３（３）：１１８—１１９．　

［２］蒋伟钢．基于ＡｓＰ的动态网站核心技术分析［Ｊ］．福建电　

脑，２００５（２）：３０—３２．　

［３］徐敏，文远．Ａｃｃｅｓｓ２０００￣Ｉ７学即会［Ｍ］．北京：科学出版社，　

１９９９：３２０—３２２．　

［４］马海滨．ｓＱＬ注入的危害、检测及防范［Ｊ］．电脑知识与技　

术，２００７（１１）：１２７０—１２７１．　

［５］汪莉莉，鲜明．ｓＱＬ注入与安全防范技术分析［Ｊ］．通信电　

源技术，２００７，２４（３）：７３—７５．　

［６］田支斌＿ＡＳＰ代码安全研究［Ｊ］．网络安全技术与应用，２００４　

（２）：６４—６６．　

［７］孙丽萍，吴红普．ＡＳＰ编程基础及应用实例［Ｍ］．北京：人　

民邮电出版社．２００１：８５—８６．