ASP漏洞大全
(www.Jojoo.net) 2002-10-22 (請雙擊自動滾屏觀看，單擊停止，再擊..)


　Microsoft Active Server Pages（ASP）是服務(wù)器端腳本編寫環(huán)境，使用它可以創(chuàng)建和運行動態(tài)、交互的 Web 服務(wù)器應(yīng)用程序。使用 ASP 可以組合 HTML 頁 、腳本命令和 ActiveX 組件以創(chuàng)建交互的 Web 頁和基于 Web 的功能強大的應(yīng)用程序。
現(xiàn)在很多網(wǎng)站特別是電子商務(wù)方面的網(wǎng)站，在前臺上大都用ASP來實現(xiàn)。以至于現(xiàn)在ASP在網(wǎng)站應(yīng)用上很普遍。
ASP是開發(fā)網(wǎng)站應(yīng)用的快速工具，但是有些網(wǎng)站管理員只看到ASP的快速開發(fā)能力，卻忽視了ASP安全問題。ASP從一開始就一直受到眾多漏洞，后門的困擾，包括%81的噩夢，密碼驗證問題，IIS漏洞等等都一直使ASP網(wǎng)站開發(fā)人員心驚膽跳。
本文試圖從開放了ASP服務(wù)的操作系統(tǒng)漏洞和ASP程序本身漏洞，闡述ASP安全問題，并給出解決方法或者建議。

ASP工作機理

Active Server Page技術(shù)為應(yīng)用開發(fā)商提供了基于腳本的直觀、快速、高效的應(yīng)用開發(fā)手段，極大地提高了開發(fā)的效果。在討論ASP的安全性問題之前，讓我們來看看ASP是怎么工作的。ASP腳本是采用明文（plain text）方式來編寫的。

ASP腳本是一系列按特定語法（目前支持vbscript和jscript兩種腳本語言）編寫的，與標(biāo)準(zhǔn)HTML頁面混合在一起的腳本所構(gòu)成的文本格式的文件。當(dāng)客戶端的最終用戶用WEB瀏覽器通過INTERNET來訪問基于ASP腳本的應(yīng)用時，WEB瀏覽器將向WEB服務(wù)器發(fā)出HTTP請求。WEB服務(wù)器分析、判斷出該請求是ASP腳本的應(yīng)用后，自動通過ISAPI接口調(diào)用ASP腳本的解釋運行引擎（ASP.DLL）。ASP.DLL將從文件系統(tǒng)或內(nèi)部緩沖區(qū)獲取指定的ASP腳本文件，接著就進行語法分析并解釋執(zhí)行。最終的處理結(jié)果將形成HTML格式的內(nèi)容，通過WEB服務(wù)器"原路"返回給WEB瀏覽器，由WEB瀏覽器在客戶端形成最終的結(jié)果呈現(xiàn)。這樣就完成了一次完整的ASP腳本調(diào)用。若干個有機的ASP腳本調(diào)用就組成了一個完整的ASP腳本應(yīng)用。
讓我們來看看運行ASP所需的環(huán)境：
Microsoft Internet Information Server 3.0/4.0/5.0 on NT Server
Microsoft Internet Information Server 3.0/4.0/5.0 on Win2000
Microsoft Personal Web Server on Windows 95/98
WINDOWS NT Option Pack所帶的Microsoft IIS提供了強大的功能，但是IIS在網(wǎng)絡(luò)安全方面卻是比較危險的。因為很少有人會用Windows 95/98當(dāng)服務(wù)器，因此本文我更多的從NT中的IIS安全問題來探討。


微軟自稱的ASP的安全優(yōu)點

雖然我們本文的重點是探討ASP漏洞和后門，但是有必要談?wù)凙SP在網(wǎng)絡(luò)安全方面的"優(yōu)點"，之所以加個""，是因為有時這些微軟宣稱的"優(yōu)點"恰恰是其安全隱犯。微軟稱ASP在網(wǎng)絡(luò)安全方面一大優(yōu)點就是用戶不能看到ASP的源程序，
從ASP的原理上看，ASP在服務(wù)端執(zhí)行并解釋成標(biāo)準(zhǔn)的HTML語句，再傳送給客戶端瀏覽器。"屏蔽"源程序能很好的維護ASP開發(fā)人員的版權(quán)，試想你辛辛苦苦做了一個很優(yōu)秀的程序，給人任意COPY，你會怎么想？而且黑客還能分析你的ASP程序，挑出漏洞。更重要的是有些ASP開發(fā)者喜歡把密碼，有特權(quán)的用戶名和路徑直接寫在程序中，這樣別人通過猜密碼，猜路徑，很容易找到攻擊系統(tǒng)的"入口"。但是目前已經(jīng)發(fā)現(xiàn)了很多能查看ASP源程序的漏洞，后面我們還要討論。
IIS支持虛擬目錄，通過在"服務(wù)器屬性"對話框中的"目錄"標(biāo)簽可以管理虛擬目錄。建立虛擬目錄對于管理WEB站點具有非常重要的意義。虛擬目錄隱藏了有關(guān)站點目錄結(jié)構(gòu)的重要信息。因為在瀏覽器中，客戶通過選擇"查看源代碼"，很容易就能獲取頁面的文件路徑信息，如果在WEB頁中使用物理路徑，將暴露有關(guān)站點目錄的重要信息，這容易導(dǎo)致系統(tǒng)受到攻擊。其次，只要兩臺機器具有相同的虛擬目錄，你就可以在不對頁面代碼做任何改動的情況下，將WEB頁面從一臺機器上移到另一臺機器。還有就是，當(dāng)你將WEB頁面放置于虛擬目錄下后，你可以對目錄設(shè)置不同的屬性，如：Read、Excute、Script。讀訪問表示將目錄內(nèi)容從IIS傳遞到瀏覽器。而執(zhí)行訪問則可以使在該目錄內(nèi)執(zhí)行可執(zhí)行的文件。當(dāng)你需要使用ASP時，就必須將你存放.asp文件的目錄設(shè)置為"Excute（執(zhí)行）"。建議大家在設(shè)置WEB站點時，將HTML文件同ASP文件分開放置在不同的目錄下，然后將HTML子目錄設(shè)置為"讀"，將ASP子目錄設(shè)置為"執(zhí)行"，這不僅方便了對WEB的管理，而且最重要的提高了ASP程序的安全性，防止了程序內(nèi)容被客戶所訪問。


ASP漏洞分析和解決方法

有人說一臺不和外面聯(lián)系的電腦是最安全的電腦，一個關(guān)閉所有端口，不提供任何服務(wù)的電腦也是最安全的。黑客經(jīng)常利用我們所開放的端口實施攻擊，這些攻擊最常見的是DDOS（拒絕服務(wù)攻擊）.下面我會列出ASP的二十幾個漏洞，每個漏洞都會有漏洞描述和解決方法。

1 在ASP程序后加個特殊符號，能看到ASP源程序

受影響的版本：
win95+pws
IIS3.0
98+pws4 不存在這個漏洞。
IIS4.0以上的版本也不存在這個漏洞。
問題描述：
這些特殊符號包括小數(shù)點，%81, ::$DATA。比如：
http://someurl/somepage.asp.
http:// someurl/somepage.asp%81
http:// someurl/somepage.asp::$DATA
http:// someurl/somepage.asp %2e
http:// someurl/somepage %2e%41sp
http:// someurl/somepage%2e%asp
http:// someurl/somepage.asp %2e
http://someurl/msadc/samples/selector/showcode.asp?source=/msadc/samples/../../../../../../boot.ini （可以看到boot.ini的文件內(nèi)容）
那么在安裝有IIS3.0和win95+PWS的瀏覽中就很容易看到somepage.asp的源程序。究竟是什么原因造成了這種可怕的漏洞呢？究其根源其實是 Windows NT 特有的文件系統(tǒng)在做怪。有一點常識的人都知道在 NT 提供了一種完全不同于 FAT 的文件系統(tǒng)：NTFS，這種被稱之為新技術(shù)文件系統(tǒng)的技術(shù)使得 NT 具有了較高的安全機制，但也正是因為它而產(chǎn)生了不少令人頭痛的隱患。大家可能不知道， NTFS 支持包含在一個文件中 的多數(shù)據(jù)流，而這個包含了所有內(nèi)容的主數(shù)據(jù)流被稱之為"DATA"，因此使得在瀏覽器 里直接訪問 NTFS 系統(tǒng)的這個特性而輕易的捕獲在文件中的腳本程序成為了可能。然而 直接導(dǎo)致 ::$DATA 的原因是由于 IIS 在解析文件名的時候出了問題，它沒有很好地規(guī)范文件名。

解決方法和建議：

如果是Winodws NT用戶，安裝IIS4.0或者IIS5.0，Windows2000不存在這個問題。如果是win95用戶，安裝WIN98和PWS4.0。

2 ACCESS mdb 數(shù)據(jù)庫有可能被下載的漏洞

問題描述：
在用ACCESS做后臺數(shù)據(jù)庫時，如果有人通過各種方法知道或者猜到了服務(wù)器的ACCESS數(shù)據(jù)庫的路徑和數(shù)據(jù)庫名稱，那么他能夠下載這個ACCESS數(shù)據(jù)庫文件，這是非常危險的。比如：如果你的ACCESS數(shù)據(jù)庫book.mdb放在虛擬目錄下的database目錄下，那么有人在瀏覽器中打入：
http:// someurl/database/book.mdb
如果你的book.mdb數(shù)據(jù)庫沒有事先加密的話，那book.mdb中所有重要的數(shù)據(jù)都掌握在別人的手中。

解決方法：

(1) 為你的數(shù)據(jù)庫文件名稱起個復(fù)雜的非常規(guī)的名字，并把他放在幾目錄下。所謂"非常規(guī)"，打個比方：比如有個數(shù)據(jù)庫要保存的是有關(guān)書籍的信息，可不要把他起個"book.mdb"的名字，起個怪怪的名稱，比如d34ksfslf.mdb，再把他放在如./kdslf/i44/studi/ 的幾層目錄下，這樣黑客要想通過猜的方式得到你的ACCESS數(shù)據(jù)庫文件就難上加難了。

(2)不要把數(shù)據(jù)庫名寫在程序中。有些人喜歡把DSN寫在程序中，比如：
DBPath = Server.MapPath("cmddb.mdb")
conn.Open "driver={Microsoft Access Driver (*.mdb)};dbq=" & DBPath
假如萬一給人拿到了源程序，你的ACCESS數(shù)據(jù)庫的名字就一覽無余。因此建議你在ODBC里設(shè)置數(shù)據(jù)源，再在程序中這樣寫：conn.open "shujiyuan"

(3)使用ACCESS來為數(shù)據(jù)庫文件編碼及加密。首先在選取"工具->安全->加密/解密數(shù)據(jù)庫，選取數(shù)據(jù)庫（如：employer.mdb），然后接確定，接著會出現(xiàn)"數(shù)據(jù)庫加密后另存為"的窗口，存為：employer1.mdb。接著employer.mdb就會被編碼，然后存為employer1.mdb..要注意的是，以上的動作并不是對數(shù)據(jù)庫設(shè)置密碼，而只是對數(shù)據(jù)庫文件加以編碼，目的是為了防止他人使用別的工具來查看數(shù)據(jù)庫文件的內(nèi)容。
接下來我們?yōu)閿?shù)據(jù)庫加密，首先以打開經(jīng)過編碼了的employer1.mdb，在打開時，選擇"獨占"方式。然后選取功能表的"工具->安全->設(shè)置數(shù)據(jù)庫密碼"，接著輸入密碼即可。為employer1.mdb設(shè)置密碼之后，接下來如果再使用ACCEES數(shù)據(jù)庫文件時，則ACCESS會先要求輸入密碼，驗證正確后才能夠啟動數(shù)據(jù)庫。不過要在ASP程序中的connection對象的open方法中增加PWD的參數(shù)即可，例如：
param="driver={Microsoft Access Driver (*.mdb)};Pwd=yfdsfs"
param=param&";dbq="&server.mappath("employer1.mdb")
conn.open param
這樣即使他人得到了employer1.mdb文件，沒有密碼他是無法看到employer1.mdb的。

3 code.asp文件會泄漏ASP代碼

問題描述：
舉個很簡單的例子，在微軟提供的 ASP1.0 的例程里有一個 .asp 文件 ，專門用來查看其它 .asp 文件的源代碼，該文件為 ASPSamp/Samples/code.asp。如果有人把這個程序上傳到服務(wù)器，而服務(wù)器端沒有任何防范措施的話，他就可以很容易地查看他人的程序。例如 :
　　code.asp?source=/directory/file.asp
不過這是個比較舊的漏洞了，相信現(xiàn)在很少會出現(xiàn)這種漏洞。
下面這命令是比較新的：
http://someurl/iissamples/exair/howitworks/code.asp?/lunwen/soushuo.asp=xxx.asp
最大的危害莫過于asa文件可以被上述方式讀出；數(shù)據(jù)庫密碼以明文形式暴露在黑客眼前;

問題解決或建議：

對于IIS自帶的show asp code的asp程序文件，刪除該文件或者禁止訪問該目錄即可

4、filesystemobject 組件篡改下載 fat 分區(qū)上的任何文件的漏洞

問題描述：
　　IIS3、 IIS4 的 ASP 的文件操作都可以通過 filesystemobject 實現(xiàn)，包括文本文件的讀寫目錄操作、文件的拷貝改名刪除等，但是這個強大的功能也留下了非常危險的 "后門"。利用 filesystemobjet 可以篡改下載 fat 分區(qū)上的任何文件。即使是 ntfs 分區(qū)，如果權(quán)限沒有設(shè)定好的話，同樣也能破壞，一不小心你就可能遭受"滅頂之災(zāi) "。遺憾的是很多 webmaster 只知道讓 web 服務(wù)器運行起來，很少對 ntfs 進行權(quán)限 設(shè)置，而 NT 目錄權(quán)限的默認(rèn)設(shè)置偏偏安全性又低得可怕。因此，如果你是 Webmaster ，建議你密切關(guān)注服務(wù)器的設(shè)置，盡量將 web 目錄建在 ntfs 分區(qū)上，目錄不要設(shè)定 everyone full control，即使是是管理員組的成員一般也沒什么必要 full control，只要有讀取、更改權(quán)限就足夠了。 也可以把filesystemobject的組件刪除或者改名。

5、輸入標(biāo)準(zhǔn)的HTML語句或者javascript語句會改變輸出結(jié)果

問題描述：
　 在輸入框中打入標(biāo)準(zhǔn)的HTML語句會得到什么相的結(jié)果呢？
比如一個留言本，我們留言內(nèi)容中打入：
<font size=10>你好！</font>
　 如果你的ASP程序中沒有屏蔽html語句，那么就會改變"你好"字體的大小。在留言本中改變字體大小和貼圖有時并不是什么壞事，反而可以使留言本生動。但是如果在輸入框中寫個 javascript 的死循環(huán)，比如：<a herf="http://someurl" onMouseover="while(1){window.close('/')}">特大新聞</a>
那么其他查看該留言的客人只要移動鼠標(biāo)到"特大新聞"，上就會使用戶的瀏覽器因死循環(huán)而死掉。

解決方法和建議：

編寫類似程序時應(yīng)該做好對此類操作的防范，譬如可以寫一段程序判斷客戶端的輸入，并屏蔽掉所有的 HTML、 Javascrip