论维护ＡＳＰ应用程序的安全性
发布时间：2015-07-04 20:31
论文关键字：asp 安全性 web服务器
论文摘要：正确配置安全设置，以保护您的asp应用程序不被未授 权的用户访问和篡改。该文提供了多种维护asp应用程序的方法。
asp是位于服务器端的脚本运行环境，通过这种环境，用户可以创建和运行动态的交互式web 服务器应用程序。asp使用的activex技术基于开放设计环境，用户可以自己定义和制作组件 加入其中，使自己的动态网页几乎具有无限的扩充能力。asp还可利用ado方便快捷地访问数 据库,从而使得开发基于/pc/">计算机将检查文件的访问控制表 。该表定义了不同用户和用户组所被赋予的权限。如果用户的帐号具有打开文件的权限，计 算机则允许该用户访问文件。
2 维护globalasa的安全
为了充分保护 asp 应用程序，一定要在应用程序的globalasa文件上为适当的用户或用户 组设置ntfs文件权限。如果globalasa包含向浏览器返回信息的命令而您没有保护 global asa文件，则信息将被返回给浏览器，即便应用程序的其他文件被保护。而且，一定 要对应用程序的文件应用统一的ntfs权限。
3 web 服务器权限
可以通过配置的web服务器的权限来限制所有用户查看、运行和操作的asp页的方式。不同于 ntfs权限提供的控制特定用户对应用程序文件和目录的访问方式，web服务器权限应用于所 有用户，并且不区分用户帐号的类型。对于要运行您的asp应用程序的用户，在设置web服务 器权限时，必须遵循下列原则：
对包含 asp文件的虚拟目录允许“读”或“脚本”权限；对 asp文件和其他包含脚本的文 件所在的虚目录允许“读”或“脚本”权限；对包含 asp文件和其他需要“执行”权限才 能运行的文件的虚目录允许“读”和“执行”权限。
4 脚本映射文件
应用程序的脚本映射保证了web服务器不会意外地下载 asp文件的源代码。例如，即使您为 包含了某个 asp文件的目录设置了“读”权限，只要该 asp文件隶属于某个脚本映射应用 程序，那么您的web服务器就不会将该文件的源代码返回给用户。
5 cookie 安全性
asp 使用sessionid cookie跟踪应用程序访问或会话期间特定的web浏览器的信息。这就是 说，带有相应的 cookie 的 http 请求被认为是来自同一web浏览器。web服务器可以使用se ssionid cookies 配置带有用户特定会话信息的asp应用程序。
5.1 sessionid能否被黑客猜中
为了防止计算机黑客猜中sessionid cookie并获得对合法用户的会话变量的访问，web 服务 器为每个sessionid指派一个随机生成号码。
每当用户的web浏览器返回一个 sessionid coo kie时，服务器取出sessionid和被赋予的数字，接着检查是否与存储在服务器上的生成号码 一致。若两个号码一致，将允许用户访问会话变量。这一技术的有效性在于被赋予的数字的 长度（64 位），此长度使计算机黑客猜中sessionid从而窃取用户的活动会话的可能性几乎 为0。
5.2 加密重要的sessionid cookie
截获了用户sessionid cookie的计算机黑客可以使用此cookie假冒该用户。如果asp应用程 序包含私人信息，信用卡或银行帐户号码，拥有窃取的cookie的计算机黑客就可以在应用程 序中开始一个活动会话并获取这些信息。您可以通过对您的web服务器和用户的浏览器间的 通讯链路加密来防止sessionid cookie被截获。
6 使用身份验证机制保护被限制的asp内容
您可以要求每个试图访问被限制的asp内容的用户必须要有有效的windows nt帐号的用户名 和密码。每当用户试图访问被限制的内容时，web服务器将进行身份验证，即确认用户身份 ，以检查用户是否拥有有效的windows nt帐号。web服务器支持以下几种身份验证方式：
6.1 基本身份验证 提示用户输入用户名和密码
windows nt请求/响应式身份验证 从用户的web浏览器通过加密方式获取用户身份信息。 然 而，web服务器仅当禁止匿名访问或windows nt文件系统的权限限制匿名访问时才验证用户 身份。
6.2 保护元数据库
访问元数据库的asp脚本需要web服务器所运行的计算机的管理员权限。在从远程计算机上运 行这些脚本时，须经已通过身份验证的连接，如使用 windows nt 请求/响应验证方式进行 连接。应该为管理级 asp文件创建一个服务器或目录并将其目录安全验证方式设置为 wind ows nt 请求/响应式身份验证。目前，仅 microsoft internet explorer version 20 或 更高版本支持windows nt请求/响应式身份验证。
7 使用ssl维护应用程序的安全
ssl 协议作为web服务器安全特性，提供了一种安全的虚拟透明方式来建立与用户的加密通 讯连接。ssl保证了web内容的验证，并能可靠地确认访问被限制的web站点的用户的身份。
7.1 通过ssl可以被限制的程序
(1)通过ssl，您可以要求试图访问被限制的asp应用程序的用户与您的服务器建立一个加密 连接；以防用户与应用程序间交换的重要信息被截取。
7.2 维护包含文件的安全
如果您从位于没有保护的虚拟根目录中的 asp文件中包含了位于启用了ssl的目录中的文件 ，则ssl将不被应用于被包含文件。因此，为了保证应用ssl，应确保包含及被包含的文件都 位于启用了ssl的目录中。
7.3 客户资格认证
控制对您的asp应用程序访问的一种十分安全的方法是要求用户使用客户资格登录。客户资 格是包含用户身份信息的数字身份证。用户通常从委托的第三方组织获得客户资格，第三方 组织在发放资格证之前确认用户的身份信息。 每当用户试图登录到需要资格验证的应用程序时，用户的web浏览器会自动向服务器发送用 户资格。如果web服务器的ssl资格映射特性配置正确，那么服务器就可以在许可用户对asp 应用程序访问之前对其身份进行确认。
8 创建事务性脚本
应用程序常常需要具有在事务内部运行脚本和组件的能力。事务是一种服务器操作，即使该 操作包括很多步骤，也只能整体返回操作是成功还是失败。用户可以创建在事务内部运行的 asp脚本，如果脚本的任何一部分失败，整个事务都将会终止。
论文摘要：正确配置安全设置，以保护您的asp应用程序不被未授 权的用户访问和篡改。该文提供了多种维护asp应用程序的方法。
asp是位于服务器端的脚本运行环境，通过这种环境，用户可以创建和运行动态的交互式web 服务器应用程序。asp使用的activex技术基于开放设计环境，用户可以自己定义和制作组件 加入其中，使自己的动态网页几乎具有无限的扩充能力。asp还可利用ado方便快捷地访问数 据库,从而使得开发基于/pc/">计算机将检查文件的访问控制表 。该表定义了不同用户和用户组所被赋予的权限。如果用户的帐号具有打开文件的权限，计 算机则允许该用户访问文件。
2 维护globalasa的安全
为了充分保护 asp 应用程序，一定要在应用程序的globalasa文件上为适当的用户或用户 组设置ntfs文件权限。如果globalasa包含向浏览器返回信息的命令而您没有保护 global asa文件，则信息将被返回给浏览器，即便应用程序的其他文件被保护。而且，一定 要对应用程序的文件应用统一的ntfs权限。
3 web 服务器权限
可以通过配置的web服务器的权限来限制所有用户查看、运行和操作的asp页的方式。不同于 ntfs权限提供的控制特定用户对应用程序文件和目录的访问方式，web服务器权限应用于所 有用户，并且不区分用户帐号的类型。对于要运行您的asp应用程序的用户，在设置web服务 器权限时，必须遵循下列原则：
对包含 asp文件的虚拟目录允许“读”或“脚本”权限；对 asp文件和其他包含脚本的文 件所在的虚目录允许“读”或“脚本”权限；对包含 asp文件和其他需要“执行”权限才 能运行的文件的虚目录允许“读”和“执行”权限。
4 脚本映射文件
应用程序的脚本映射保证了web服务器不会意外地下载 asp文件的源代码。例如，即使您为 包含了某个 asp文件的目录设置了“读”权限，只要该 asp文件隶属于某个脚本映射应用 程序，那么您的web服务器就不会将该文件的源代码返回给用户。
5 cookie 安全性
asp 使用sessionid cookie跟踪应用程序访问或会话期间特定的web浏览器的信息。这就是 说，带有相应的 cookie 的 http 请求被认为是来自同一web浏览器。web服务器可以使用se ssionid cookies 配置带有用户特定会话信息的asp应用程序。
5.1 sessionid能否被黑客猜中
为了防止计算机黑客猜中sessionid cookie并获得对合法用户的会话变量的访问，web 服务 器为每个sessionid指派一个随机生成号码。
每当用户的web浏览器返回一个 sessionid coo kie时，服务器取出sessionid和被赋予的数字，接着检查是否与存储在服务器上的生成号码 一致。若两个号码一致，将允许用户访问会话变量。这一技术的有效性在于被赋予的数字的 长度（64 位），此长度使计算机黑客猜中sessionid从而窃取用户的活动会话的可能性几乎 为0。
5.2 加密重要的sessionid cookie
截获了用户sessionid cookie的计算机黑客可以使用此cookie假冒该用户。如果asp应用程 序包含私人信息，信用卡或银行帐户号码，拥有窃取的cookie的计算机黑客就可以在应用程 序中开始一个活动会话并获取这些信息。您可以通过对您的web服务器和用户的浏览器间的 通讯链路加密来防止sessionid cookie被截获。
6 使用身份验证机制保护被限制的asp内容
您可以要求每个试图访问被限制的asp内容的用户必须要有有效的windows nt帐号的用户名 和密码。每当用户试图访问被限制的内容时，web服务器将进行身份验证，即确认用户身份 ，以检查用户是否拥有有效的windows nt帐号。web服务器支持以下几种身份验证方式：
6.1 基本身份验证 提示用户输入用户名和密码
windows nt请求/响应式身份验证 从用户的web浏览器通过加密方式获取用户身份信息。 然 而，web服务器仅当禁止匿名访问或windows nt文件系统的权限限制匿名访问时才验证用户 身份。
6.2 保护元数据库
访问元数据库的asp脚本需要web服务器所运行的计算机的管理员权限。在从远程计算机上运 行这些脚本时，须经已通过身份验证的连接，如使用 windows nt 请求/响应验证方式进行 连接。应该为管理级 asp文件创建一个服务器或目录并将其目录安全验证方式设置为 wind ows nt 请求/响应式身份验证。目前，仅 microsoft internet explorer version 20 或 更高版本支持windows nt请求/响应式身份验证。
7 使用ssl维护应用程序的安全
ssl 协议作为web服务器安全特性，提供了一种安全的虚拟透明方式来建立与用户的加密通 讯连接。ssl保证了web内容的验证，并能可靠地确认访问被限制的web站点的用户的身份。
7.1 通过ssl可以被限制的程序
(1)通过ssl，您可以要求试图访问被限制的asp应用程序的用户与您的服务器建立一个加密 连接；以防用户与应用程序间交换的重要信息被截取。
7.2 维护包含文件的安全
如果您从位于没有保护的虚拟根目录中的 asp文件中包含了位于启用了ssl的目录中的文件 ，则ssl将不被应用于被包含文件。因此，为了保证应用ssl，应确保包含及被包含的文件都 位于启用了ssl的目录中。
7.3 客户资格认证
控制对您的asp应用程序访问的一种十分安全的方法是要求用户使用客户资格登录。客户资 格是包含用户身份信息的数字身份证。用户通常从委托的第三方组织获得客户资格，第三方 组织在发放资格证之前确认用户的身份信息。 每当用户试图登录到需要资格验证的应用程序时，用户的web浏览器会自动向服务器发送用 户资格。如果web服务器的ssl资格映射特性配置正确，那么服务器就可以在许可用户对asp 应用程序访问之前对其身份进行确认。
8 创建事务性脚本
应用程序常常需要具有在事务内部运行脚本和组件的能力。事务是一种服务器操作，即使该 操作包括很多步骤，也只能整体返回操作是成功还是失败。用户可以创建在事务内部运行的 asp脚本，如果脚本的任何一部分失败，整个事务都将会终止。