改mdb为asp所带来的灾难

昨天和animator试验了一下，把data.mdb文件改名为data.asp文件后放在wwwroot目录里。然后在IE中输入 data.asp路径后，发现IE显示一片空白，右键->察看源文件，跳出记事本，将内容另存为.mdb文件，用ACCESS打开，发现需要密码，也就是说至少文件头被破坏。

然后用Flashget试验下载data.asp文件，并另存为data.mdb文件，发现用ACCESS打开完好无损！！！看来，好一些编程人员在开发的时候都认为，改了mdb后缀为asp就能防下载的概念，是错的！后台数据库被下载对于一个asp+access的网站来说无疑是一场惨绝人寰的灾难。今天找了各方的文章，归纳一下有以下9种办法防止数据库被下载(欢迎补充)：

1.发挥你的想象力修改数据库文件名
不用说，这是最最偷懒的方法，但是若攻击者通过第三方途径获得了数据库的路径)，就玩完了。比如说攻击者本来只能拿到list权，结果意外看到了数据库路径，就可以冠冕堂皇地把数据库下载回去研究了。另外，数据文件通常大小都比较大，起再隐蔽的文件名都瞒不了人。故保密性为最低。

2.数据库名后缀改为ASA、ASP等

此法须配合一些要进行一些设置，否则就会出现本文开头的那种情况

(1)二进制字段添加(此招我还没有炼成-_-+)。

(2) 在这个文件中加入<%或%>，IIS就会按ASP语法来解析，然后就会报告500错误，自然不能下载了。可是如果只是简单的在数据库的文本或者备注字段加入<%是没用的，因为ACCESS会对其中的内容进行处理，在数据库里他会以< %的形式存在，无效！正确的方法是将<%存入OLE对象字段里，这样我们的目的就能达到了。
作方法：
首先，用notepad新建一个内容为 <% 的文本文件，随便起个名字存档。
　　接着，用Access打开您的数据库文件，新建一个表，随便起个名字，在表中添加一个OLE对象的字段，然后添加一个记录，插入之前建立的文本文件，如果操作正确的话，应该可以看到一个新的名为“数据包＂的记录。即可

3.数据库名前加“#”
　　只需要把数据库文件前名加上#、然后修改数据库连接文件（如conn.asp）中的数据库地址。原理是下载的时候只能识别 #号前名的部分，对于后面的自动去掉，比如你要下载：http://www.pcdigest.com/date/ #123.mdb(假设存在的话）。无论是IE还是FLASHGET等下到的都是http://www.test.com/date/index.htm(index.asp、default.jsp等你在IIS设置的首页文档)
　　另外在数据库文件名中保留一些空格也起到类似作用，由于HTTP协议对地址解析的特殊性，空格会被编码为"%",如 http://www.test.com/date/123 ;456.mdb，下载的时http://www.test.com/date/123 %456.mdb。而我们的目录就根本没有123%456.mdb这个文件，所以下载也是无效的这样的修改后，即使你暴露了数据库地址，一般情况下别人也是无法下载！

4.加密数据库
　　首先在选取"工具->安全->加密/解密数据库，选取数据库（如：employer.mdb），然后接确定，接着会出现"数据库加密后另存为"的窗口，存为：employer1.mdb。接着 employer.mdb就会被编码，然后存为employer1.mdb..要注意的是，以上的动作并不是对数据库设置密码，而只是对数据库文件加以编码，目的是为了防止他人使用别的工具来查看数据库文件的内容。
接下来我们为数据库加密，首先以打开经过编码了的 employer1.mdb，在打开时，选择"独占"方式。然后选取功能表的"工具->安全->设置数据库密码"，接着输入密码即可。这样即使他人得到了employer1.mdb文件，没有密码他是无法看到 employer1.mdb的。
　　加密后要修改数据库连接页，如：
conn.open "driver={microsoft access driver (*.mdb)};uid=admin;pwd=数据库密码;dbq=数据库路径"
　　这样修改后，数据库即使被人下载了，别人也无法打开（前提是你的数据库连接页中的密码没有被泄露）
　　但值得注意的是，由于Access数据库的加密机制比较简单，即使设置了密码，解密也很容易。该数据库系统通过将用户输入的密码与某一固定密钥进行“异或”来形成一个加密串，并将其存储在*.mdb文件从地址“&H42”开始的区域内。所以一个好的程序员可以轻松制作一个几十行的小程序就可以轻松地获得任何Access数据库的密码。因此，只要数据库被下载，其信息安全依然是个未知数。

5.数据库放在WEB目录外或将数据库连接文件放到其他虚拟目录下
　　如你的WEB目录是e:/webroot，可以把数据库放到e:/data这个文件夹里，在e:/webroot里的数据库连接页中修改数据库连接地址为："../data/数据库名" 的形式，这样数据库可以正常调用，但是无法下载的，因为它不在WEB目录里！这个方法一般也不适合购买虚拟空间的用户。

6.使用ODBC数据源。
　　在ASP等程序设计中，如果有条件，应尽量使用ODBC数据源，不要把数据库名写在程序中，否则，数据库名将随ASP源代码的失密而一同失密，例如： DBPath = Server.MapPath(“../123/abc/asfadf.mdb ”)
conn.open “driver={Microsoft Access Driver (*.mdb)};dbq=”& DBPath
　　可见，即使数据库名字起得再怪异，隐藏的目录再深，ASP源代码失密后，也很容易被下载下来。如果使用ODBC数据源，就不会存在这样的问题了： conn.open “ODBC-DSN名” ,不过这样是比较烦的，目录移动的话又要重新设置数据源了，更方便的方法请看第7，8法！

7.添加数据库名的如MDB的扩展映射
　　这个方法就是通过修改IIS设置来实现，适合有IIS控制权的朋友，不适合购买虚拟主机用户(除非管理员已经设置了）。这个方法我认为是目前最好的。只要修改一处，整个站点的数据库都可以防止被下载。无须修改代码即使暴露目标地址也可以防止下载。
　　我们在IIS属性---主目录---配置---映射---应用程序扩展那里添加.mdb文件的应用解析。注意这里的选择的DLL（或EXE等）似乎也不是任意的，选择不当，这个MDB文件还是可以被下载的，注意最好不要选择选择asp.dll等。你可以自己多测试下
　　这样修改后下载数据库如：http://www.test.com/data/dvbbs6.mdb。就出现（404或500等错误）

改mdb为asp所带来的灾难相关推荐

asp access的安全:不要认为简单的改后缀mdb为asp就能防下载
asp access的安全:不要认为简单的改后缀mdb为asp就能防下载昨天和animator试验了一下,把data.mdb文件改名为data.asp文件后放在wwwroot目录里.然后在IE中输入 ...
地球周围的小行星，陨石。如何消除他们在未来对地球撞击而带来的灾难
我是在NASA网站上看到的关于2022年5月6日早上8点34分小行星会撞击地球的概念.而NASA推算出的概率是3800分之一.在此之前NASA就做过类似的研究,希望能用炸弹或者其他物质将其毁灭.但是, ...
使用trash-cli防止rm -rf 误删除带来的灾难（“事前”非“事后”）
trash-cli是一个使用 python 开发的软件包,包含 trash-put.restore-trash.trash-list.trash-empty.trash-rm等命令,我们可以通过这写命 ...
王阳明：一次只做一件事的人，才会领先于这个世界
内方外圆,知宽厚会严厉. 此心光明,亦复何言. 境无好坏,唯心所造. 要自己去努力.创造.积累. 志不立,天下无可成之事. 专注于当下,既不念过往,亦不畏将来. 曾国藩说过:凡人做一事,便须全副精神注 ...
防止ACCESS数据库被下载的9种方法
转自:http://www.cnblogs.com/BlueThinking/archive/2006/06/10/422830.html 篇首语:原来改mdb为asp就能防下载是鬼话. 引子:昨天和 ...
Access 下载爆库
如何防止access数据库被下载的9种方法: 防止access数据库被下载,这个是广大站长都关心的问题,数据库太重要了,一旦数据库被别人下载,网站将没秘密可言,一切都赤裸裸的暴露在别人眼里篇首语:原 ...
Access数据库：它已经被别的用户以独占方式打开,操作必须使用一个可更新的查询,不能锁定文件
转自:http://iasp.bokee.com/ 笔名:iasp 由于网络开发过程,或者一些下载的例子工程一般都用Access数据库,因为它方便不需要服务器,以文件方式就可以访问. Access数 ...
用Dreamweaver实现ASP动态网站建设
Macromedia Dreamweaver MX 是一款专业的 HTML 编辑器,用于对 Web 站点.Web 页和 Web 应用程序进行设计.编码和开发.无论您愿意享受手工编写 HTML 代码时的 ...
ASP.NET虚拟主机安全漏洞解决方案
说明:本文中所需环境为2003Server+iis6.0+ms sql2000 曾经很早就在网上看到一篇关于<asp.net虚拟主机的重大隐患>的文章,当时并不在意,做过asp虚拟主机的朋 ...

改mdb为asp所带来的灾难

改mdb为asp所带来的灾难

改mdb为asp所带来的灾难相关推荐

最新文章

热门文章