2024年6月20日发(作者：)
论维护ＡＳＰ应用程序的安全性
【摘要】正确配置安全设置，以保护您的ASP应用程序不被未授 权的用户访问
和篡改。该文提供了多种维护ASP应用程序的方法。
【关键字】ASP 安全性 Web服务器
ASP是位于服务器端的脚本运行环境，通过这种环境，用户可以创建和运行
动态的交互式Web 服务器应用程序。ASP使用的ActiveX技术基于开放设计环境，
用户可以自己定义和制作组件 加入其中，使自己的动态网页几乎具有无限的扩
充能力。ASP还可利用ADO方便快捷地访问数 据库,从而使得开发基于WWW的应
用系统成为可能。但是，千万不要轻视正确配置安全设置的 重要性。如果不正
确配置安全设置，不但会使您的ASP应用程序遭受不必要的篡改，而且会 妨碍
正当用户访问您的asp文件。Web服务器提供了各种方法，保护您的ASP应用程
序不被 未授权的用户访问和篡改。
1 NTFS 权限
您可以通过单独的文件和目录应用NTFS访问权限来保护ASP应用程序文件。
NTFS 权限是We b服务器安全性的基础，它定义了一个或一组用户访问文件和目
录的不同级别。当拥有Windo ws NT 有效帐号的用户试图访问一个有权限限制
的文件时，计算机将检查文件的访问控制表 。该表定义了不同用户和用户组所
被赋予的权限。如果用户的帐号具有打开文件的权限，计 算机则允许该用户访
问文件。
2 维护Globalasa的安全
为了充分保护 ASP 应用程序，一定要在应用程序的Globalasa文件上为适
当的用户或用户 组设置NTFS文件权限。如果Globalasa包含向浏览器返回信息
的命令而您没有保护 Global asa文件，则信息将被返回给浏览器，即便应用程
序的其他文件被保护。而且，一定 要对应用程序的文件应用统一的NTFS权限。
3 Web 服务器权限
可以通过配置的Web服务器的权限来限制所有用户查看、运行和操作的ASP
页的方式。不同于 NTFS权限提供的控制特定用户对应用程序文件和目录的访问
方式，Web服务器权限应用于所 有用户，并且不区分用户帐号的类型。对于要
运行您的ASP应用程序的用户，在设置Web服务 器权限时，必须遵循下列原则：
对包含 asp文件的虚拟目录允许“读”或“脚本”权限；对 asp文件和其
他包含脚本的文 件所在的虚目录允许“读”或“脚本”权限；对包含 asp文件
和其他需要“执行”权限才 能运行的文件的虚目录允许“读”和“执行”权
限。
4 脚本映射文件
应用程序的脚本映射保证了Web服务器不会意外地下载 asp文件的源代码。
例如，即使您为 包含了某个 asp文件的目录设置了“读”权限，只要该 asp
文件隶属于某个脚本映射应用 程序，那么您的Web服务器就不会将该文件的源
代码返回给用户。
5 Cookie 安全性
ASP 使用SessionID cookie跟踪应用程序访问或会话期间特定的Web浏览
器的信息。这就是 说，带有相应的 cookie 的 HTTP 请求被认为是来自同一Web
浏览器。Web服务器可以使用Se ssionID cookies 配置带有用户特定会话信息
的ASP应用程序。
SessionID能否被黑客猜中
为了防止计算机黑客猜中SessionID cookie并获得对合法用户的会话变量
的访问，Web 服务 器为每个SessionID指派一个随机生成号码。
每当用户的Web浏览器返回一个 SessionID coo kie时，服务器取出SessionID
和被赋予的数字，接着检查是否与存储在服务器上的生成号码 一致。若两个号
码一致，将允许
户访问会话变量。这一技术的有效性在于被赋予的数字的 长度（64 位），此长
度使计算机黑客猜中SessionID从而窃取用户的活动会话的可能性几乎 为0。
加密重要的SessionID Cookie
截获了用户sessionID cookie的计算机黑客可以使用此cookie假冒该用户。
如果ASP应用程 序包含私人信息，信用卡或银行帐户号码，拥有窃取的cookie
的计算机黑客就可以在应用程 序中开始一个活动会话并获取这些信息。您可以
通过对您的Web服务器和用户的浏览器间的 通讯链路加密来防止SessionID
cookie被截获。
6 使用身份验证机制保护被限制的ASP内容
发布者：admin，转转请注明出处：http://www.yc00.com/web/1718860916a2753133.html
评论列表（0条）