2024年4月11日发(作者：)
维普资讯
２００６年第４期 福建 电脑 １６５
基于ＩＩＳ／ＡＳＰ组建网站的安全问题与解决方案
林鹏
（湛江师范学院教育技术部广东湛江５２４０４８）
【摘要】：ＩＩＳ＋ＡＳＰ是组建网站最常用的方案，该方案在带来便捷的同时，也带来了一系列的安全隐患。本文综合分析该
方案组建网站的安全隐患。并提出了解决安全问题的一系列方案．大大提高ＩＩＳ＋ＡＳＰ网站的安全性能。
【关键词】：ＩＩＳ ＡＳＰ安全漏洞
１．引言
随着ｉｎｔｅｒｎｅｔ的发展，Ｗｅｂ技术日新月异，人们已经不再满
足于静态ＨＴＭＬ技术。更多的是要求动态、交互的网络技术。微
软推出ＩＩＳ＋ＡＳＰ的解决方案作为一种典型的服务器端网页设计
技术，被广泛应用在网上银行、电子商务、网上调查、网上查询、
ＢＢＳ、搜索引擎等各种互联网应用中。目前．ＩＩＳ＋ＡＳＰ是中小型
Ｉｎｔｅｍｅｔ网站的首选方案。但是．该解决方案在为我们带来便捷
的同时，也带来了严峻的安全问题
２．网站安全隐患分析
在考虑网站安全时，我们不仅要考虑操作系统的安全．还要
考虑ＩＩＳ和ＡＳＰ的安全性能以及应用程序的安全性能
２．１ ＩＩＳ的安全漏洞
ｌＩＳ本身存在着许多的先天不足和安全漏洞．ＩＩＳ不安全的
因素主要有：
ｆ１１ Ｎｕｌ１．ｈｔｗ漏洞
ＩＩＳ如果运行了Ｉｎｄｅｘ Ｓｅｆｖｅｒ就包含了一个通过Ｎｌｌｌ１．ｈｔｗ有
关的漏洞，即服务器上不存在此，ｈｔｗ结尾的文件。这个漏洞会导
致显示ＡＳＰ脚本的源代码。ｇｌｏｂａｌ ｐ里面包含了用户帐等敏感
信息。如果攻击者提供特殊的ＵＲＬ请求给ＩＩＳ就可以跳出虚拟
目录的限制，进行逻辑分区和ＲＯＯＴ目录的访问。而这个＂ｈｉｔ—
ｈｉｇｈｌｉｇｈｔｉｎｇ”功能在Ｉｎｄｅｘ Ｓｅｒｖｅｒ中没有充分防止各种类型文件
的请求。所以导致攻击者访问服务器上的任意文件。
（２）ＭＤＡＣ一执行本地命令漏洞
这个漏洞出现得比较早，但在全球范围内．可能还有好多
ＩＩＳ ＷＥＢ服务器存在这个漏洞。ＩＩＳ的ＭＤＡＣ组件存在 山个漏
洞，可以导致攻击者远程执行目标系统的命令 主要核心问题是
存在于ＲＤＳＤａｔａｆａｃｔｏｒｙ，默认情况下。它允许远程命令发送到ＩＩＳ
服务器中，这命令会以设备用户的身份运行．在默认情况下是
ＳＹＳＴＥＭ用户。
（３）ＡＳＰＤｏｔ Ｂｕｇ
ＡＳＰ Ｄｏｔ Ｂｕｇ漏洞是泄露ＡＳＰ源代码给攻击者．一般在
ＩＩＳ３．０上存在此漏洞．在请求的ＵＲＬ结尾追加一个或者多个点
导致泄露ＡＳＰ源代码
）ｉｄｃ＆．ｉｄａ Ｂｕｇ
这个漏洞实际上类似ＡＳＰ ｄｏｔ漏洞．其能在ＩＩＳ４．Ｏ上显示
其ＷＥＢ目录信息，有些人还在ＩＩＳ５．０上发现过此类漏洞。通过
增加？ｉｄｃ？或者？ｉｄａ？后缀到ＵＲＬ会导致ＩＩＳ尝试允许通过数据
库连接程序．ＤＬＬ来运行．ＩＤＣ．如果此．ｉｄｃ不存在．它就返回一些
信息给客户端。
（５）＋．ｈｔｒ Ｂｕｇ
对有些ＡＳＡ和ＡＳＰ追加＋．ｈｔｒ的ＵＲＬ请求就会导致文件源
代码的泄露
（６）ＮＴ Ｓｉｔｅ Ｓｅｒｖｅｒ Ａｄｓａｍｐｌｅｓ漏洞：
通过请求ｓｊｃｅ脚ｃ．一般保存在／ａｄｓａｍｐｌｅｓ／ｃｏｒｄｌｇ／ｓｉｔｅ．ｃｓｃ中．
攻击者可能获得一些如数据库中的ＤＳＮ．ＵＩＤ和ＰＡＳＳ的一些
信息。
（７）ＩＩＳ ＨＡＣＫ
有人发现了一个ＩＩＳ４．０的缓冲溢出漏洞．可以允许用户上
载程序。如上载ｎｅｔｃａｔ到目标服务器．并把ｃｍｄ．ｅｘｅ绑定到８０端
口。这个缓冲溢出主要存在于．ｈｌｒ．．ｉｄｃ和 ｓｔｍ文件中，其对关于
这些文件的ＵＲＬ请求没有对名字进行充分的边界检查．导致运
行攻击者插入一些后门程序在系统中下载和执行程序。
（８）ＩＩＳ存在的Ｕｎｉｃｏｄｅ解析错误漏洞
ＮＳＦＯＣＵＳ安全小组发现微软ＩＩＳ ４ ０和ＩＩＳ ５．０在Ｕｎｉｃｏｄｅ
字符解码的实现中存在一个安全漏洞．导致用户可以远程通过
ＩＩＳ执行任意命令。当ＩＩＳ打开文件时。如果该文件名包含
ｕｎｉｃｏｄｅ字符，它会对其进行解码，如果用户提供一些特殊的编
码．将导致ＩＩＳ错误的打开或者执行某些ｗｅｂ根目录以外的文
件 如ｗ２ｋ中对’＼’和’，’区分不是很严格．这和Ｕｎｉｘ仪支持‘，‘
是不同的，攻击者可以利用这点进行目录浏览或非法控制。
２。２ ＡＳＰ页面的安全隐患
（１）源代码安全性隐患。由于ＡＳＰ程序采用非编译性语言，
大大降低了程序源代码的安全性。如果黑客侵入站点。就可以获
得ＡＳＰ源代码：同时对于租用服务器的用户．凶个别服务器出
租商的职业道德问题，也会造成ＡＳＰ应用程序源代码泄露。
（２）程序设计中容易被忽视的安全性问题。ＡＳＰ代码使用表
单实现交互，而相应的内容会反映在浏览器的地址栏中，如果不
采用适当的安全措施。只要记下这些内容，就可以绕过验证直接
进入某一页面。例如在浏览器中敲入“…ｐａｇｅ．ａｓｐ？ｘ＝ｌ ，即可不经
过表单页面直接进入满足“ｘ＝１”条件的页面。因此．在验证或注
册页面中．必须采取特殊措施来避免此类问题的产生。
（３）ＡＳＰ主页，ｉｎｃ文件泄露问题。当存在ａｓｐ的主页正在制
作并没有进行最后调试完成以前．可以被某些搜索引擎机动追
加为搜索对象．如果这时候有人利用搜索引擎对这些网页进行
查找．会得到有关文件的定位，并能在浏览器中察看到数据库地
点和结构的细节揭示完整的源代码
２．３操作系统的安全漏洞
Ｗｉｎｄｏｗｓ ２０００组建网站的常用操作系统 虽然在安全方面
作了很大的改进．但仍然存在很多安全漏洞．黑客或其它别有有
心的人很容易找到漏洞对网站进行攻击 ．
２．４主观人为因素
指网站的设计者、管理者和使用者的意识、索质、道德、责任
心、技术等主观方面因素。主要表现在：安全意识淡薄、重视不
足，强调性能，而忽视安全；敬业精神不够、责任心不强；设定配
置错误或操作不当：投入不足，只重视硬件投入而忽视配套安全
软环境建设：许多网站没有整体风险评估和安全论证；管理不
力、责任不明、执行不严：教育学习力度不够、队伍建设滞后，缺
乏处理突发事件能力；技术手段落后：安全工作没有做好做细，
如制定应急计划、系统备份恢复、漏洞持续修补等，出现问题。往
往束手无策。
３提高ＩＩＳ＋ＡＳＰ网站安全性能的方法
３．１网站的规划与绍建
在建网站前一定要做好规划工作．根据组建网站的实际情
况选择相适应的服务器、交换机、网络带宽和防火墙等关键设
备。如条件允许。在服务器、交换机、网络带宽和防火墙等关键设
备选择比所建网站实际高一级的设备
维普资讯
１６６
３．２网站系统软件的安装：
福建 电脑 ２００６年第４期
（３）删除不必要的ＩＩＳ扩展名映射。最好去．ＩＤＣ、．ＨＴＲ、．
Ｍ、．ＩＤＡ、．ＨＴⅣ应用程序映射，．ｓｈｔｍｌ、．ｓｈｔｍ等如果无用，也应
（１）不论是ＮＴ还是２０００，硬盘分区均为ＮＴＦＳ分区。建议将
Ｓ１＇
ＩＩＳ安装到非系统分区上．ＩＩＳ的安装目录不要使用默认ｋｌｎｅｔＰｕｂ
去掉。
的目录．应在系统分区之外的单独分区上新建一个名称复杂的 （４）安装新的Ｓｅｒｖｉｃｅ Ｐａｃｋ后．ＩＩＳ的应用程序映射应重新设
安装目录
置。
（５）设置ＩＰ拒绝访问列表。对于ＷＷＷ服务，可以拒绝一些
（２）只安装一种操作系统
安装两种以上操作系统．会给黑客可乘之机。利用攻击使系
对站点有攻击嫌疑的地址：尤其对于ｒｒＰ服务。如果只是自己公
司上传文件，就可以只允许本公司的ＩＰ访问ＦｒＰ服务，这样，安
统重启到
另外一个没有安全设置的操作系统（或者他熟悉的操作系统）．
全性大为提高
（６）禁止对兀１Ｐ服务的匿名访问。盘ｌｌ果允许对ｇｒＰ服务做匿
进而进行破坏
该匿名帐户就有可能被利用来获取更多的信息。以致对
（３）安装成独立的域控制器（Ｓｔａｎｄ Ａｌｏｎｅ），选择工作组成员，
名访问．
系统造成危害
不选择域
主域控制器（ＰＤＣ）是局域网中队多台联网机器管理的一种
（７）建议使用Ｗ３Ｃ扩充日志文件格式，每天记录客户ＩＰ地
方式．用于网站服务器包含着安全隐患。黑客有可能利用域方式
址。用户名，服务器端Ｖ－Ｉ，方法，ＵＲＩ字根，Ｈ Ｉ’ｒＰ状态，用户代理。
的漏洞攻击站点服务器。 而且每天均要审查日志。（最好不要使刚缺省的目录．建议更换
个记日志的路径．同时设置Ｅｔ志的访问权限。只允许管理员和
（４）将操作系统文件所在分区与Ｗｅｂ数据包括其他应用程
序所在的分区分开，并在安装时最好不要使用系统默认的目录，
ｓｙｓｔｅｍ为Ｆｕｌｌ Ｃｏｎｔｒｏ１）。
（８）慎重设置Ｗｅｂ站点目录的访问权限，一般情况下，不要
如将＼ＷＩＮＮＴ改为其他目录。
（５）尽量不安装与Ｗｅｂ站点服务无关的软件。
给予目录以写入和允许目录浏览权限。只给予．ＡＳＰ文件目录以
３－３系统设置及管理
脚本的权限．而不要给与执行权限。
（１）帐号尽可能少．且尽可能少用来登录。
３．５ ＡＳＰ网页安全问题的解决方案
（２）除过Ａｄｍｉｎｉｓｔｒａｔｏｒ外，有必要再增加一个属于管理员组 （１）涉及朋户名与口令的程序最好封装在服务器端．尽量少
的帐号。
的在ＡＳＰ文件里出现．涉及到与数据库连接地用户名与口令应
（３）所有帐号权限需严格控制。轻易不要给帐号以特殊权
给予最小的权限。
限。
（２）需要经过验证的ＡＳＰ页面，可跟踪上一个页面的文件
只有从上一页面转进来的会话才能读取这个页面。
（４）将Ａｄｍｉｎｉｓｔｒａｔｏｒ重命名，改为一个不易猜的名字。其他
名．
般帐号也应尊循着一原则
（３）程序员应该在网页发布前对其进行彻底的调试；安全专
（５）将Ｇｕｅｓｔ帐号禁用。同时重命名为一个复杂的名字，增加
家需要固定ａｓＰ包含文件以便外部的用户不能看他们。首先
口令．并将它从Ｇｕｅｓｔ组删掉 对．ｉｎｃ文件内容进行加密．其次也可以使用．ａｓｐ文件代替．ｉｎｃ
ｉｎｅ文件的
（６）给所有用户帐号一个复杂的口令。长度最少在８位以
文件使用户无法从浏览器直接观看文件的源代码。．
上。且必须同时包含字母、数字、特殊字符。同时不要使用大家
文件名不用使用系统默认的或者有特殊含义容易被用户猜测到
熟悉的单词（如ｍｉｃｒｏｓｏｆｔ）、熟悉的键盘顺序（如ｑｗｅｒｔ）、熟悉的
的．尽量使用无规则的英文字母。
数字（如２０００）等。
（４）在使用ａｓｐ程序的编辑工具进行创建或者修改一个ａｓｐ
（７）口令必须定期更改（建议至少两周该一次）．且最好记在
文件时。完成后要删除备份文件，防止备份文件被下载。
心里。除此以外不要在任何地方做记录；另外，如果在日忐审核
（５）为有效地防止ＡＳＰ源代码泄露．可以对ＡＳＰ页面进行
中发现某个帐号被连续尝试．则必须立刻更改此帐号（包括用户
加密。
名和口令）。 ３．６内部管理
（８）在帐号属性中设立锁定次数．比如改帐号失败登录次数
网络攻击更多的来自于内部．在我国立案可查的网络安全
超过５次即锁定改帐号。这样可以防止某些大规模的登录尝试。
事件中．大部分是由于内部管理不善造成的所以应加强内部的
同时也使管理员对该帐号提高警惕。
管理，完备和严格执行规章制度网管不要将主机用于个人用途．
（９）删除所有的网络共享资源。
应尽量少 主机浏览器来浏览网页、收发邮件．避免因此而感染
㈤改ＮＴＦｓ的安全权限
病毒或暴露信息。
Ｏ１）只开放必要的端口，关闭其余端口。
３．７防治结合
０２加强日志审核。
要树立起防患于未然的意识．将不安全的因索解决在未发
加强数据备份。定期备份数据．当系统崩溃时可以从备
生之前，这是一项长期的工作。婴建立风险论证机制，分析可能
份数据快速恢复。
存在的薄弱环节，通过定期安全扫描等技术手段。及早发现存在
只保留ＴＣＰ／ＩＰ协议．删除ＮＥＴＢＥＵＩ、ＩＰＸ／ＳＰＸ协议。
问题，采取措施。在此基础上应制定出切实可行的安全策略．构
∞停掉没有用的服务。只保留与网站有关的服务和服务器
建合适的安全结构、确定释理的范『圈和方法、规划好访问控制的
某些必须的服务。
等级权限。正确的规戈ｌｊ来自对现实条件和实际需求的理性分析。
３．４ｌｌＳ的设置
既不是贪大求全，也不是仅为一时之需而凑合。应坚持安全第一
（１）只安装Ｏｐｔｏｉｎ Ｐａｃｋ中必须的服务．建议不要安装Ｉｎｄｅｘ
的原则，宁可牺牲一定性能。也要保证足够安全。防范的多重性
Ｓｅｒｖｅｒ、ＦｒｏｎｔＰａｇｅ Ｓｅｒｖｅｒ Ｅｘｔｅｎｓｉｏｎｓ、示例ＷＷＷ站点等功能。ＩＩＳ 和箍体性也很重要．只有互为补充的各个防卫层次和手段才能
中的众多安全隐患是由一些其他的功能引起的．如果仅做一个
共同构成一个有机整体。此外．使用更多先进可靠的技术手段来
ＷＷＷ站点，就需要安装必须的服务，如ＷＷＷ服务、ＦＴＰ服务． 加强安全性是必不可少的，安装ＩＩＳ的防火墙．ＩＩＳ的增强工具等
这样减少黑客利用这些漏洞攻击的机会
就可以很大程度上减少受到攻击的可能。
（２）停止默认的ＦＴＰ站点、默认的Ｗｅｂ站点、管理Ｗｅｂ站
３．８补丁更新
点，在新的目录下新建ＷＷＷ服务与ＦＦＰ服务。默认的站点与
站点的管理员应随时关注摄新的漏洞和安全信息、查看有
管理Ｗｅｂ站点含有大量有安全漏洞的文件．极易给黑客造成攻
关的补丁公告，及时打上相应补丁．这是维护安全最简单也是最
击机会。应该在新的目录下建立服务．这个目录不要放
有效的方法。但安全不是绝对的．补丁是在漏洞发现之后才有
ＩｎｅｔＰｕｂ＼ｗｗｗｒｏｏｔ下，最好放在与它不同的分区下。
的，完全信任补丁和防火墙等技术手段是不可取ｆ下转第１７９页）
一
一
维普资讯
２００６年第４期
是线性同阶多项式。
福建 电脑 １７９
引入的舍尾误差越大．绘制的曲线偏离原始曲线就越严重，甚至
定理１：通过函数ｙ＝ｆ（ｘ）的ｎ＋１个结点（）【０’ｙ０），ｘｌ，ｙ１），…，（ｘ ，ｙＤ，
会产生令人讨厌的龙格振荡现象．所以往往限制在６阶以内。
采用不同方式构造的插值多项式ＩＪ１（ｘ）和Ｃｎ（ｘ），插值结果相同。
当采用高精度计算．多项式插值法的阶数可高达１０阶。我
们曾计算铂铑一铂热电偶的分度值．在０—１０℃问，最大误差不大
证明：设ＩＪ１（ｘ）和Ｇｎ（ｘ）的形式如下
于０．５％。即±０．５℃。在高温端接近无偏误差，完全可以满足工程
Ｌｎ（ｘ）＝ ＋口ｌｘ＋…＋ｄ
Ｇｎ（ｘ）＝ｂｏ＋ ｘ＋…＋
（ ３）
（ ４）
上的需要。
４．等距多项式系数的求解
通常。在数据处理时，大多数情况是将表格或曲线按等间距
由此可用牛顿插值法计算。多项式插值法同样可按等距
先证必要性。只要证明了ａ产ｂ ，（ｉ－Ｏ，１，…。ｎ），Ｌｌ１（ｘ）就等于Ｇｎ
离散化．
（ｘ）。分别将ｎ＋１个结点值代入式（１３）和（１ ４），可得 方式取值计算系数。此时，式（３）的系数阵范德蒙行列式（５）具有如
口０＋ａ１ １＋… ｘ：＝Ｙ０
下性质（证明从略）：
口０＋ａＩｘ：＋…ａ ｘ ＝Ｙ１
性质１：范德蒙行列式是非奇异的。
（１５） 性质２：等距ｎ＋１阶范德蒙行列式德的值等于
１ Ｘ０
ｘ
口ｎ＋ａ１ｘ ＋…ａ ． ＝Ｙ
１ ｘｌ
ｘ
∑
和
＝ 。‘Ｉ １ｉ （２１）
６ｂ＋６Ｉ ＋…６ ｘ：＝Ｙｏ
ｆ盲Ｏ
６ｂ＋ｂＩｘ：＋…６ ｘ ＝Ｙｌ
１ Ｘｎ ・・・ｘ，７
（１ ６） 式中
， 厂ｘｊ＝ ， 为步长，若ａ：１，则式（２１）化简为
６ｈ＋ｂｌｘ １＋…６ ． ＝
）ｆ Ｈ Ｈ
（ａｏ，ａ “，ａＤ，（ｂｏ，ｂ ”，ｂｎ）分别是式（１５）、（１６）ｆｌ￣，即
口 ・兀ｌ＝ＹＩｉ （ａ＝１） （２２）
∑ａ／ｘ／＝ｙ， （ｉ＝ｏ，１一．，ｎ）
（１７ａ）
ｉ＝Ｏ ｉ＝Ｏ
－Ｑ
性质３：等距ｎ＋１阶范德蒙行列式，用相临的上下行相减就可以
．．，．．．．．．．．．．．．．．．．
———．．．．．．．
／：ｙ （ｉ ０…１…ｎ）
（１７ｂ）
化简成上三角行列式。
＿ｏ
下面举例说明性质３．设有４阶步长为２的行列式，
由此可得
４ 加
＾ ＾ ＾
ａｉｘ／一∑ ＝Ｚｘｉ（ａ
．．．．．
ｉ＝ｏ Ｏ ｊ＝ｏ
厂ｂｓ）－．ｖ，一 ＝０ （１８）
．。．．．．
封——．．，
所以
ａｊ＝ｂ￣ （ｉ＝ｏ。１Ｉ－－￣￣ｎ） （１９）
４ ８ ８
再证充分性。（ａｏ’ａ ”， 和（ｂｏ，ｂ －．。ｂ 分别是两个不同方式
ｌ∽
１０
２ ４
０ ２
ｊ、
８
２１ ９６
”
ｌ
构造的插值多项式的系数，不妨设ａ ≠ｂ。。现将结点值代入式
ｌ
ｌ
ｌｏ ２
１
蚓蚓
０
１：
１
１
１
２
Ｉ
ｌ ‘
（１３）、（１４】，使之
ｌ０ ０ ０ ２ ．３１ｌ ｌ０ ０
ｂ
０
３Ｉｌ
ｙａ／一∑纠＝ｙｘ／（ａ￣一 ）≠０（ｉ：０ １．．， ）（２０）
利用这些性质，可以很简便地求解多项式的系数，式（３）的根
就是多项式的系数。根据性质３可知，在求解过程中，
４ ８ ０
仅使用上
亦即ｙ广ｙｉ≠０，这显然与事实矛盾．所以ａｊ与ｂｊ必定相等。 下行相减即可，也就减少了因乘除运算引入的舍尾误差，因而具
引
证毕。
有很高的精度。
由定理１可以得到定理２，证明从略。
定理２：通过函数ｙ＝ｆ（ｘ）的ｎ＋１个结点（】【ｏ＇ｙｏ），ｘ。，ｙＩ）．…，（ｘｎ， ，
５．结语
采用不同方式构造的插值多项式Ｌｎ（ｘ）和Ｇｎｆｘ）．其插值结果与
笔者使用等距多项式插值方法，求得的半导体材料中杂质
原函数值之差（插值误差）相等。
浓度与电阻率的近似解析多项式函数．在两者数据都在几个数
我们曾对多项式插值法和拉格朗日插值法进行比较，结果
量级变化范围内．其误差基本在２０％范围之内，这在．半导体技术
表明，两者是一致的，因此多项式插值法可以取代其它插值方
中是允许的。在０—１６００￣Ｃ范围内，利用多分段形式求得铂铑一铂
法。
热电偶的分度值．在误差最大的０—１０℃问的误差不超过０．５℃，
从数学角度讲．结点多些，也就是多项式的阶数高些，能更
符合自动控制工程的需要。本方法具有计算简单、精度高、反向
精确逼近原始曲线，但是由于计算机的字长的限制。阶数越高，
插值的特点．在工程计算中有很大的使用价值。
（上接第１６６页）
的，许多网管认为系统升级不会出问题．但事实上，在补丁更新
是一项系统工程，有空间跨度，还有时问跨度，进行了安全配置
时常常对其中共享的组件也进行了升级。某些程序有可能不支
与管理的网络系统并不是绝对安全的。随着时间推移和技术的
持升级后的组件从而导致各种安全问题．所以安装不确定的补
持续发展．其安全状况也在发生相应的变化，只有让安全意识、
丁前应在其他机器上做好测试。
安全技术和安全管理贯穿整个过程才能做到最大程度上的安全
４．结束语
三分技术，七分管理。网站的安全配置与管理不仅仅是一个
参考文献：
技术问题，更重要的是管理。在管理中．人的因索相当重要，因为
１．薛洪明．ＩＩＳ的安奎问题与解决方素．计算机时代．２００３。１１
最终是人在执行各项设定和控制。为此．树立良好的安全意识、
２．刘宗田．Ｗｃｂ站点安奎与防大墙技术．北京：机械工业出版社．１９９８
加强安全管理各方面的投入、加强培训学习等是非常重要的。只
３．王群．网络组建与堆护教程．重庆：重庆出版社
有从基础做起、从细处做起，才能有效地保障网站的安全。安全
发布评论