抵御入侵保护ASP系统的通用方法 （2）

这就是一次简单实战，对于其他的ASP系统也是类似的。

到这里我不太满意，因为我在用手工修改，谁能保证不出错，而且对于论坛类的ASP是不可能的。

所以我的想法是用软件批量的修改文件，这样的功能的软件应该有，可以自己找，或编，但是我还是认为不好，因为有好多干扰的因素，如上面的的if session("admin")="" then 就不能改 的，软件是不好判断的。所以我认为对于这个方法应该在业界行成编程的新规范。还是拿动网来做例子

对于动网的BBS，他可以在编写的时候，对于储存用户和管理员的表名起一个与BBS代码没有重复的表名，然后随论坛发布一个软件，在用户安装后，批量修改数据库和论坛文件代码中储存管理员的表名为用户自己定义的表名。这样就解决了修改时文件过多，和相同字符干扰的问题，而你自己定义的管理员的表名被猜出的几率极底，入侵者猜不出来就没法进行SQL注入攻击了，即使是他发现了新的注入漏洞，如此安全性大大提高了。

我希望的是这个方法可以实现，这样在用户得到文件后可以自己定义敏感数据，以避免绝大多数已知和未知的SQL攻击。

这是我找的一个好工具，非常不错的批量文件字符替换程序。

自我点评一下，我对前两篇文章不是很满意的，即动网漏洞和浪客密码，我只是在原有的知识上重复工作，没什么用，而这篇文章我认为可以有效的改变安全问题，我看了一下，如果对于一个如上方法处理的BBSXP论坛，即使是没有补丁对于BBSXP漏洞倒着看一、二、四、五都是天生免疫的，对于动网，如果也用上面的方法处理过，那么，对于”绝对背后的微笑-再谈DVBBS漏洞“，“免费版dvBBS的另一类漏洞“，”Sql Injection with Access“等漏洞也是天生免疫的，所以我对这个方法还是抱着很大希望的，如果能成为一种规范，应该对安全的贡献是大的，虽然目前还不行，但我想将来可以行，而且现在对于小规模的ASP系统可以手工修改。