ASP 安全性 Web服务器.doc

《ASP 安全性 Web服务器.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、ASP安全性Web服务器　　　　ASP是位于服务器端的脚本运行环境，通过这种环境，用户可以创建和运行动态的交互式Web服务器应用程序。ASP使用的ActiveX技术基于开放设计环境，用户可以自己定义和制作组件加入其中，使自己的动态网页几乎具有无限的扩充能力。ASP还可利用ADO方便快捷地访问数据库,从而使得开发基于WWW的应用系统成为可能。但是，千万不要轻视正确配置安全设置的重要性。如果不正确配置安全设置，不但会使您的ASP应用程序遭受不必要的篡改，而且会妨碍正当用户访问您的asp文件。Web服务器提供了各种方法，保护您的ASP应用程序不被未授权的用户访问和篡改。　　　　1NTF

2、S权限　　您可以通过单独的文件和目录应用NTFS访问权限来保护ASP应用程序文件。NTFS权限是Web服务器安全性的基础，它定义了一个或一组用户访问文件和目录的不同级别。当拥有WindowsNT有效帐号的用户试图访问一个有权限限制的文件时，计算机将检查文件的访问控制表。该表定义了不同用户和用户组所被赋予的权限。如果用户的帐号具有打开文件的权限，计算机则允许该用户访问文件。　　　　2维护Globalasa的安全　　为了充分保护ASP应用程序，一定要在应用程序的Globalasa文件上为适当的用户或用户组设置NTFS文件权限。如果Globalasa包含向浏览器返回信息的命令而您没有保

3、护Globalasa文件，则信息将被返回给浏览器，即便应用程序的其他文件被保护。而且，一定要对应用程序的文件应用统一的NTFS权限。　　　　3Web服务器权限　　可以通过配置的Web服务器的权限来限制所有用户查看、运行和操作的ASP页的方式。不同于NTFS权限提供的控制特定用户对应用程序文件和目录的访问方式，Web服务器权限应用于所有用户，并且不区分用户帐号的类型。对于要运行您的ASP应用程序的用户，在设置Web服务器权限时，必须遵循下列原则：　　对包含asp文件的虚拟目录允许“读”或“脚本”权限；对asp文件和其他包含脚本的文件所在的虚目录允许“读”或“脚本”权限；对包含asp

4、文件和其他需要“执行”权限才能运行的文件的虚目录允许“读”和“执行”权限。　　　　4脚本映射文件　　应用程序的脚本映射保证了Web服务器不会意外地下载asp文件的源代码。例如，即使您为包含了某个asp文件的目录设置了“读”权限，只要该asp文件隶属于某个脚本映射应用程序，那么您的Web服务器就不会将该文件的源代码返回给用户。　　　　5Cookie安全性　　ASP使用SessionIDcookie跟踪应用程序访问或会话期间特定的Web浏览器的信息。这就是说，带有相应的cookie的HTTP请求被认为是来自同一Web浏览器。Web服务器可以使用SessionIDcookies配置带有

5、用户特定会话信息的ASP应用程序。　　5.1SessionID能否被黑客猜中　　为了防止计算机黑客猜中SessionIDcookie并获得对合法用户的会话变量的访问，Web服务器为每个SessionID指派一个随机生成号码。每当用户的Web浏览器返回一个SessionIDcookie时，服务器取出SessionID和被赋予的数字，接着检查是否与存储在服务器上的生成号码一致。若两个号码一致，将允许用户访问会话变量。这一技术的有效性在于被赋予的数字的长度（64位），此长度使计算机黑客猜中SessionID从而窃取用户的活动会话的可能性几乎为0。　　5.2加密重要的SessionIDC

6、ookie　　截获了用户sessionIDcookie的计算机黑客可以使用此cookie假冒该用户。如果ASP应用程序包含私人信息，信用卡或银行帐户号码，拥有窃取的cookie的计算机黑客就可以在应用程序中开始一个活动会话并获取这些信息。您可以通过对您的Web服务器和用户的浏览器间的通讯链路加密来防止SessionIDcookie被截获。　　6使用身份验证机制保护被限制的ASP内容　　您可以要求每个试图访问被限制的ASP内容的用户必须要有有效的WindowsNT帐号的用户名和密码。每当用户试图访问被限制的内容时，Web服务器将进行身份验证，即确认用户身份，以检查用户是否拥有有效的

7、WindowsNT帐号。Web服务器支持以下几种身份验证方式：　　6.1基本身份验证提示用户输入用户名和密码　　WindowsNT请求/响应式身份验证从用户的Web浏览器通过加密方式获取用户身份信息。然而，Web服务器仅当禁止匿名访问或WindowsNT文件系统的权限限制匿名访问时才验证用户身份。　　6.2保护元数据库　　访问元数据库的ASP脚本需要Web服务器所运行的计算机的管理员权限。在从远程计算机上运行这些脚本时，须经已通过身份验证的连接，如使用WindowsNT请求/响应