游客,您好 
免费注册
SEO资料站

www.che.com

丘仕达微博

丘仕达微博

中国SEO资料站
新闻动态 技术文章 软件下载 SEO博客 本站论坛 SEO入门书籍
SEO技术文章 - 网站建设技术 - 浏览文章
ASP漏洞分析和解决方法(4)
发布日期:2007-4-12 13:35:17   来源:互联网转载   共有 3399 人次浏览
教程中国版权声明: 华腾联合.中国
15绕过验证直接进入ASP页面。

  漏洞描述:
  如果用户知道了一个ASP页面的路径和文件名,而这个文件又是要经过验证才能进去的,但是用户直接输入这个ASP页面的文件
名,就有可能通过绕过验证.比如:我在一些网站上这样试过:首先关闭所有的浏览器,窗口,输入:
http://someurl/system_search.asp?page=1
  就样就看到了只能系统员才能看到的页面。当然有些人为了防止这种情况也会在system_search.asp的开头加个判断,比如:
判断session("system_name"),如果不为空时就能进入,这样上面的url请求就不能直接进入管理员页面了。但是这种方法也有一
个漏洞,如果攻击者先用一个合法的帐号,或者在本机上生成一个session,如session("system_name")="admi",那因为
session("system_name")不为空,这样也能直接进入绕过密码,直接进入管理员页面。

  解决方法:
  在需要验证的ASP页面开头处进行相应的处理。比如:可跟踪上一个页面的文件名,只有从上一页面转进来的会话才能读取这个
页面。

16、IIS4.0/5.0特殊数据格式的URL请求远程DOS攻击

  漏洞描述:
  当在安装有有IIS4.0或者IIS5.0的web服务上,请求一个具有特殊数据格式的URL,会拖慢受攻击web服务器的响应速度,或许会
使其暂时停止响应。

  受影响的版本:
MicrosoftInternetInformationServer4.0
MicrosoftInternetInformationServer5.0
  漏洞测试程序如下:
http://202.96.168.51/download/exploits/iisdos.exe
  源代码如下:
http://202.96.168.51/download/exploits/iisdos.zip
  测试程序:
  只要打入:iisdos<***.***.**.**>就能攻击对方web服务器

  问题解决:
InternetInformationServer4.0:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=20906
InternetInformationServer5.0:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=20904
  更多的信息:
http://www.microsoft.com/technet/security/bulletin/ms00-030.asp
Microsoft安全公告MS00-021:
http://www.microsoft.com/technet/security/bulletin/fq00-030.asp
  相关连接
http://www.ussrback.com
共有1条文章 页次:1/1 分页: 9 1 :

发布人:----- 】·【推荐好友】·【打印】·【顶部
相关文章--
[网站建设技术] ·ASP漏洞分析和解决方法(10)2007-04-12
[网站建设技术] ·ASP漏洞分析和解决方法(9)2007-04-12
[网站建设技术] ·ASP漏洞分析和解决方法(8)2007-04-12
[网站建设技术] ·ASP漏洞分析和解决方法(7)2007-04-12
[网站建设技术] ·ASP漏洞分析和解决方法(6)2007-04-12
相关评论
   系统暂时关闭评论功能!
最新文章
 百度排名点击器介绍及原理...
 专访丘仕达:放平心态 兼...
 丘仕达:原创文章的一些思考
 丘仕达:2008中秋月饼实战
 丘仕达:SEO项目流程操作及...
 云野侠:优化无处不在
 丘仕达:关于SEO的一些思考
 转:快速申请GOOGLE ADSE...
 文章标题的写法及引申-丘...
 大鸟和丘仕达在求医网的S...
热门文章
 SEO工具,站长必备
 王通:SEO的六种赚钱方式
 丘仕达SEO实战:如何用几个...
 蜘蛛:最挣钱的几种网站
 丘仕达:写给走火入魔...
 SEO资料站站长丘仕达个人...
 日IP不到500的站一年赚10...
 采访SEO资料站长丘仕达
 2个月收入5万元的垃圾站是...
 写给SEO菜鸟们
推荐文章
 丘仕达:SEO项目流程操作及...
 丘仕达:写给走火入魔...
 实战:单页面优化的第二种...
 关于单面面网站优化的两个...
 网站内容联盟大全及介绍
 10.14飘渺蝶舞DIV+CSS讲座...
 百度分词技术的一些补充
 丘仕达工作前给大家的礼物
 55种网页常用小技巧
 地址拦网址前加图标的...
文章搜索
关键字:
关于我们 网站留言 友情链接 管理
中国SEO资料站

QQ:726399 邮箱:zsuda@163.com 备案序号:辽ICP备10202808号-1