我的ASP网站被人攻破两次了，并且被修改了源程序，请高手帮我分析原因！100高分，决不食言！

[goj2000]

测试地址：http://www.68ceo.com/anly/，最后一次是被人攻击了后台服务程序，登录后台页面后，显示的是黑客一段善意的提醒。但他没有留下联系方式，真遗憾！

[wangyingdong]

<%
'--------定义部份------------------
Dim Fy_Post,Fy_Get,Fy_In,Fy_Inf,Fy_Xh,Fy_db,Fy_dbstr
'自定义需要过滤的字串,用 "枫" 分隔
Fy_In = "'|;|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare"
'----------------------------------
%>

<%
Fy_Inf = split(Fy_In,"|")
'--------POST部份------------------
If Request.Form<>"" Then
For Each Fy_Post In Request.Form

For Fy_Xh=0 To Ubound(Fy_Inf)
If Instr(LCase(Request.Form(Fy_Post)),Fy_Inf(Fy_Xh))<>0 Then
'--------写入数据库----------头-----
'--------写入数据库----------尾-----

Response.Write "<Script Language=JavaScript>alert('请不要在参数中包含非法字符尝试注入!');location.href='../index.asp';</Script>"
'Response.Write "非法操作！系统做了如下记录<br>"
'Response.Write "操作ＩＰ："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
'Response.Write "操作时间："&Now&"<br>"
'Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
'Response.Write "提交方式：ＰＯＳＴ<br>"
'Response.Write "提交参数："&Fy_Post&"<br>"
'Response.Write "提交数据："&Request.Form(Fy_Post)
Response.End
End If
Next

Next
End If
'----------------------------------

'--------GET部份-------------------
If Request.QueryString<>"" Then
For Each Fy_Get In Request.QueryString

For Fy_Xh=0 To Ubound(Fy_Inf)
If Instr(LCase(Request.QueryString(Fy_Get)),Fy_Inf(Fy_Xh))<>0 Then
'--------写入数据库----------头-----
'--------写入数据库----------尾-----

Response.Write "<Script Language=JavaScript>alert('请不要在参数中包含非法字符尝试注入!');location.href='../index.asp';</Script>"
'Response.Write "非法操作！系统做了如下记录<br>"
'Response.Write "操作ＩＰ："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
'Response.Write "操作时间："&Now&"<br>"
'Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
'Response.Write "提交方式：ＧＥＴ<br>"
'Response.Write "提交参数："&Fy_Get&"<br>"
'Response.Write "提交数据："&Request.QueryString(Fy_Get)
Response.End
End If
Next
Next
End If
%>
把以上代码保存成一个ASP文件，然后调用数据库的页面里，都包含他！
还有上传组件，在网上找一个防注入的上传组件！！

[goj2000]

还有没有更好的办法？

[cncca]

首先严格过滤，不要相信用户的输入是我们的原则，严格给文件夹分配权限，尤其上传的文件夹不要给执行权限，数据库不要用sa权限。

[jlilo]

一个建议：
如果，你不会写防注入的，可以上网下载，那些防注入的代码，在数据库连接的页面，包含进去，就可以了！
上传的组件，最好是，用比较成熟的上传系统！千万不要用动网，和动易的上传组件！

就是这样了！

[silonkf]

我还想说的是,你的后台存在一个严重的漏洞,这里不太好表明,请楼主留下联系email,我好告之...

[Atboy]

注入.上传漏洞最简单的办法就是改掉文件名,把文件夹弄得越复杂越好...多弄几层

比如管理后台:gualicas/2005ddd/dafafdaf/login.asp
上传的也是一样....改的越乱越好..不要用upload.asp做文件名...
不要在首页上放出后台管理的连接

因为,很多人注入,上传都是利用工具..工具的能力有限.只能猜解出比较特殊的文件,和文件夹
即使他注入了,也找不到后台..

当然,这个没有解决根本问题..呵呵

[zhurenweile]

关注一下

[FIREGUNS]

嗯。
密码非MD5加密.
后台暴露数据库位置..
注册的时候验证不严,可以插入ASP.
servu没测试,不过装在e盘应该没什么问题了..

上传漏洞好象没什么.
可能是我技术不行..
传了以后都是保存为gif或jpg了.
后台没法备份为木马.

偶是在注册用户那里插了段ASP.用C/S木马玩的.
在数据库的目录下,楼主删了吧..
测试完毕..

[goj2000]

谢谢大家的支持，这里的人真好。
我的电子邮件地址是：[e-mail]
如果您有好的程序或者建意，可以用电子邮件发给我。

[zwrtv]

路过学习下

[sfwxw0456]

到网上去专门下载个防SQL 注入的代码,只要在头文件调用一下该文件就行了!

[zhanghongwen]

该说的楼上的都说了.顶一下.

[aryou]

唉，，，这种低级错误也犯。。。。


没有处理 'or'


你试试用 用户名和密码都为： 'or' 登陆你的管理后台一下，，，

[aryou]

看你网站左侧的公告 ^_^

[kingkuf]

上传漏洞和，服务器漏洞

[net205]

楼主得仔细检查一下，，，
楼上说的，，，'or'这类的最基本的也有问题。。。

[goj2000]

我是楼主，谢谢大家的帮助。
现在sql注入漏洞问题已经解决，但我还是不知道对方是如何把.asp文件上传到我的主页目录中的，甚至可以修改我的.asp文件。
盼高手帮我解决一下。

[Onlyfu]

这种情况估计是木马造成的，你的服务器目录里一定有个　站长助手　的文件，它可以显示你的所有文件有目录，而且可以做任何操作，经检查，一般这个文件都存在木马，怎么传上去，不说了

[goj2000]

我是楼主，谢谢Onlyfu(好久没碰过女人了) 的提示。
能否把如何把木马程序上传到我的网站上吗？有没有办法禁止非经授权的程序上传？如果不方便在这里说，可以给我发送电子邮件：[e-mail],非常感谢。

[mysqlaping]

dll,exe,bat,ocx等文件都不能允许上传的