我的网站总是被注入垃圾信息！求救！

[shaxiaozi82616]

www.sinyue.com
这个是我的个人网站，开办的前面两个月没有问题，三月份开始就不停的被垃圾信息注入，虽然有设置审核，可是每天都有几百条，着实令人头疼。信息发布那里也有设置验证码，可是总还是不行，看过后台记录，应该不是人为的。给数据库加密了，但是发现有个conn_save.asp文件，只要添加了数据库的密码，垃圾信息就会注入，想请各位高手帮帮忙，看看是哪里的问题。

[Unending]

附件不能下载

[No_Data_Found]

留言程序是不是网上下载修改的 ？



ASP实现禁止站外提交表单例程

--------------------------------------------------------------------------------


使用asp尽量减少服务器端的工作量，这样就应该多使用javascript，把所有提交字段使用javascript或vbscript检测后提交给服务器，这样服务器就不必再作检测，而在提交时可能会有人修改script从本地提交，这样存在安全提交的问题，所以应该要求从服务器断路径提交，其他地址提交提交无无效：

<%
server_v1=Cstr(Request.ServerVariables("HTTP_REFERER"))
server_v2=Cstr(Request.ServerVariables("SERVER_NAME"))
if mid(server_v1,8,len(server_v2))<>server_v2 then
response.write "<br><br><center><table border=1 cellpadding=20 bordercolor=black bgcolor=#EEEEEE width=450>"
response.write "<tr><td style='font:9pt Verdana'>"
response.write "你提交的路径有误，禁止从站点外部提交数据请不要乱该参数！"
response.write "</td></tr></table></center>"
response.end
end if
%>
比如说上面的代码起名为check_path.asp保存，每次遇到表单提交时引用就行了：

<!--#include file="check_path.asp"-->

[liulang457]

回

[rushman]

"HTTP_REFERER"可以绕过去，典型的防君子不防小人 -_-

[DarkNight]

4楼说的绕过去,怎么绕?我是新手不大会

[rushman]

"HTTP_REFERER"是从客户端发送至服务器的，其值取决于客户端。

[siwolf1129]

不懂什么是垃圾信息？是别人在留言板里写些你不想要的东东？学习中。。。

[shaxiaozi82616]

<!--#include file="setup.asp"-->
<!--#include file="setup1.asp"-->
<META HTTP-EQUIV="Content-Type" CONTENT="text/html; charset=gb2312">
<%dim conn
On Error Resume Next '容错声明
response.buffer=true
dim db,connstr
db="#data.asp"
set Conn = server.CreateObject("ADODB.Connection")
connstr="driver={Microsoft Access Driver (*.mdb)};dbq="& server.MapPath("data/"&db&"")
conn.Open connstr


Function HtmlEncode(Content)
Content = Replace(Content, ">", ">")
Content = Replace(Content, "<", "<")
Content = Replace(Content, "'", "")
HtmlEncode = content
End Function

Function HtmlEncode2(Content)
Content = Replace(Content, ">", ">")
Content = Replace(Content, "<", "<")
Content = Replace(Content, " ", " ")
Content = Replace(Content, "'", "")
Content = Replace(Content, vbcrlf,"<br>")
HtmlEncode2 = content
End Function
%>

[No_Data_Found]

在留言页面加入下面代码

<%
'// 取得随机字符串
Public Function GetRndString(ByVal intNum)
If intNum <= 0 Then Exit Function

Dim i
Dim intLength
'// 这些字符用来做种子
Const STRINGSOURCE = "0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz"
intLength = Len(STRINGSOURCE)-1

Randomize
For i = 1 To intNum
'// 利用 Mid Rnd 函数每次从种子字符串中随机抽取一个字符
GetRndString = GetRndString & Mid(STRINGSOURCE,Int(Rnd * intLength + 1),1)
Next
End Function



'// 调用
session("ck") = GetRndString(10)
%>


songpengasp 2008年04月09日 14点13分05秒 说：
在表单加入


<input type="hidden" name="ck" value="<%=session("ck")%>" />

songpengasp 2008年04月09日 14点14分22秒 说：
在保存页面 加入

<%if request("ck") <> session("ck") then response.end%>

[rushman]

[Quote=引用 9 楼 songpengasp 的回复:]
在留言页面加入下面代码

<%
'// 取得随机字符串
Public Function GetRndString(ByVal intNum)
If intNum <= 0 Then Exit Function
..........
[/Quote]
有用吗？验证码基本上也是这个过程，验证码无法阻止垃圾信息，隐藏字段就可以了？

[No_Data_Found]

没人会针对你一个小网站去分析破解的

办法还有的 只是这样简便些



按你的意思那都没有绝对的

病毒和杀毒还并存那

[rushman]

[Quote=引用 11 楼 songpengasp 的回复:]
没人会针对你一个小网站去分析破解的
办法还有的 只是这样简便些

按你的意思那都没有绝对的
病毒和杀毒还并存那
[/Quote]
不是破解不破解的问题。
我朋友的网站就是和LZ一样，设了验证码（还是特地变形的），垃圾信息依然天天报道 -_-!

[No_Data_Found]

那限制ip 好了 或者限制垃圾信息的关键字

[No_Data_Found]

2年前 我倒是见过一款发垃圾信息的软件 对与输入验证码留言程序才采用半自动（人工识别、输入验证码）的方法

[rushman]

[Quote=引用 14 楼 songpengasp 的回复:]
2年前 我倒是见过一款发垃圾信息的软件 对与输入验证码留言程序才采用半自动（人工识别、输入验证码）的方法
[/Quote]
就怕这样的，他在那边不厌其烦的发，我得在这边陪着删……
郁闷啊！
再次向LZ表示同情，并关注

[shaxiaozi82616]

谢谢songpengasp，用那个方法已经解决问题了，放分了！