原来改mdb为asp就能防下载是鬼话
来源:互联网 发布:java三级分销系统 编辑:程序博客网 时间:2024/04/30 10:15
篇首语:原来改mdb为asp就能防下载是鬼话。 引子:昨天和animator试验了一下,把data.mdb文件改名为data.asp文件后放在wwwroot目录里。然后 在IE中输入data.asp路径后,发现IE显示一片空白,右键->察看源文件,跳出记事本,将内容另存为.mdb文件 ,用ACCESS打开,发现需要密码,也就是说至少文件头被破坏。
此法须配合一些要进行一些设置,否则就会出现本文开头的那种情况 (1)二进制字段添加(此招我还没有炼成-_-+)。 (2)在这个文件中加入,IIS就会按ASP语法来解析,然后就会报告500错误,自然不能下载了。可是 如果只是简单的在数据库的文本或者备注字段加入<%是没用的,因为ACCESS会对其中的内容进行处理,在数据库里他会以 < %的形式存在,无效!正确的方法是将<%存入OLE对象字段里,这样我们的目的就能达到了。
这几个方法中,只有第7和8个是统一性改的,一次修改配置后,整个站点的数据库都可以防止下载,其他几个就要分别修改数据库 名和连接文件,比较麻烦,不过对于虚拟主机的朋友也只能这样了! 其实第6个方法应该是第5个方法的扩展,可以实现特殊的功能,但对于不支持.net的主机或者怕设置麻烦的话,还是直接用第 5个方法了,而且默认情况下第6个方法,依然可以通过复制连接到同主机的论坛或留言本发表,然后就可以点击下载了(因为这样的引 用页是来自同主机的) 9.利用NTFS分区的文件权限设置(by percyboy) (一)实验过程
a) D:/wwwroot/test/data/ 文件夹的给用户ASPNET 以如下权限: b) D:/wwwroot/test/data/db1.mdb 文件本身给用户ASPNET以如下权限:
1.2 对于包含有"UPDATE""INSERT""UPDATE"等命令的aspx程序, ; (a) 如果 db1.mdb 是 Access 2000 创 建的数据库,出现如下错误: "/test"应用程序中的服务器错误。 (b) 如果 db1.mdb 是 Access XP 创建的 数据库,出现如下错误: "/test"应用程序中的服务器错误。 (c) 原因初步分析:因为包含有"UPDATE""INSERT""UPDATE"等命令,需要对数据库文件本身进 行写入操作,所以上述权限不能满足此需求,我们需要进一步放开权限。 我们放开一些权限, b) D:/wwwroot/test/data/db1.mdb 文件本身给用户ASPNET以如下权限: 1.3 放开权限后继续实验, (a) 如果 db1.mdb 是 Access 2000 创 建的数据库,出现如下错误: "/test"应用程序中的服务器错误。 (b) 如果 db1.mdb 是 Access XP 创建的 数据库,没有出现错误。 (c) 原因初步分析:我们发现在打开 Access 数据库时,同时会在所在目录生成一个同名 的 *.ldb 文件,这是一个 Access 的锁定标记。鉴于此,我们猜测,用户 ASPNET 访问 Access 数据库时,也需要生成一个锁定标记,而该目录没 有允许其写入,因此出错。至于 Access XP 创建的数据库为什么没有这个错误,原因还不 得而知。 我们进一步放开权限, b) D:/wwwroot/test/data/db1.mdb 文件本身给用户ASPNET以如下权限: 1.4 继续实验,发现错误已解决,那么上面这个权限就是我们需要放开的"最低权限"。 (a) 如果 db1.mdb 是 Access 2000 创 建的数据库,我们会发现一个小问题:生成的 *.ldb 文件不会自己删除,访问后该文件依然存在,但这个 问题不会影响 asp.NET 的正常运行。 (b) 如果 db1.mdb 是 Access XP 创建的 数据库,没有出现上面类似问题。 (c) 原因初步分析:我们仅仅是给了 ASPNET 以写入文件夹的权限,没有给它修改的权限 ,所以文件一旦写入,便无法修改其内容,*.ldb 也就删除不掉了。 如果非要解决这个问题,进一步放开权限为: b) D:/wwwroot/test/data/db1.mdb 文件本身给用户ASPNET以如下权限: 1.5 附带着,实验另一种情形:我们把 db1.mdb 在 Acce ss 打开编辑,同时访问 asp.NET。 (a) 如果 db1.mdb 是 Access 2000 创 建的数据库,我们发现并没有出现什么问题。
"/zhao"应用程序中的服务器错误。 (c) 原因初步分析:Access 数据库是单用户单线程的数据库,我们在 Access&n bsp;里面打开编辑数据库文件时其实是以当前 Windows 用户(比如Administrator) 身份打开数据库,而 asp.NET 默认使用的是 ASPNET 虚拟用户(隶属于 Users 组),级别低于 Administrator,无法和 Adminis trator "抢夺"权限,所以出现冲突错误。至于 Access 2000 忽略 这个问题的情形我们也不必做讨论了,可能是 Access 2000 没有考虑那么多因素吧。& nbsp; 1.6 再附带一种情形:将 db1.mdb 的属性改为"只读",无论是&nbs p;Access 2000 还是 Access XP 都将分别出现与& nbsp;1.2 中各自的错误相同的错误提示。 (二)实验结论
在 asp.NET 中默认是以一个叫做 ASPNET& nbsp;的虚拟用户的身份来访问、操作数据库的,你可以在"控制面板"-"管理工具"-"计算机管理"-"本地用户和组"-" 用户"中看到这个用户,默认情况下是: 全名:ASP.NET 计算机帐户&nb sp; 使用这么一个隶属于 Users 组的用户来进行文件操作、数据库操 作的风险是要比用一个 Administrators 组的用户的风险要小得多,这也是 asp .NET 在安全方面的一个考虑吧。 既然是这么一个用户需要访问、操作数据库文件本身,那么我们就需要给它一定的 NTFS 权限以允许它的访问。显然没有 NTFS 的权限许可,ASPNET 就无 法访问、操作数据库,就会出现上面实验中所看到的那些错误了。
a) D:/wwwroot/test/data/ 文件夹给用户ASPNET以 如下权限: b) D:/wwwroot/test/data/db1.mdb 文件本身给用户ASPNET以如下权限:
(3) 上述权限设置可以直接设置给 ASPNET 用户自己,也可以设置给 Use rs 组,或者直接给 Everyone 组上述权限都是可以的。因为 ASPNET 隶属于 Users 组,可以通过 用户组 给 ASPNET 设置权限。 (4) NTFS 权限在文件或文件夹右击后得到的"属性"对话框-"安全"选项卡中设置,一般情况下,可 以考虑给 Adminitrators 组以"完全控制"的权限,同时不要轻易在"拒绝"中打勾,有关&n bsp;NTFS 权限设置的技巧,可以咨询网络管理员、网络安全专家的建议。 注:FAT, FAT32 格式的分区中不支持 NTFS 权限。 &nb sp; (5) Windows 2000 系列,Windows Server 2003 系列的"安全"选项卡默认是很容易找到的,但 Windows XP Pr ofessional 中的"安全"选项卡默认是关闭的,可以将"控制面板"-"文件夹选项"-"查看"选项卡中的" 高级设置"中"使用简单共享(推荐)"一项的"√"去除,"确定"之后,再次按照上面的方法即可看到"安全"选项卡了。 =========== 若你对服务器拥有管辖权,推荐再加上方法9,你的ACCESS数据库的安全性 就可以大大提高了。 |
- 原来改mdb为asp就能防下载是鬼话
- 原来改mdb为asp就能防下载是鬼话
- 不要认为改mdb为asp就能防下载
- 改mdb为asp所带来的灾难
- 改mdb为asp所带来的灾难
- 《改mdb为asp所带来的灾难》之狗尾续貂
- 解决“改mdb为asp所带来的灾难”
- 改mdb为asp所带来的灾难
- 改mdb为asp所带来的灾难
- 改mdb为asp所带来的灾难
- 改mdb为asp所带来的灾难
- 《改mdb为asp所带来的灾难》之狗尾续貂
- IT的困惑:是规划,还是鬼话
- 5年后80%房企可能关门是鬼话
- asp.net 导出mdb
- 以为博客是密码被盗,原来是上次改的大小写错了~~~
- asp 为 datalist 添加 增删改 事件
- 如何在ASP+Access应用中防范mdb文件被下载。
- BCP:桥接控制协议--网络大典
- Duwamish7学习笔记(-)
- 老友归来--delphi2005试用手记2
- Duwamish7学习笔记(二)
- boost 的ref库记录
- 原来改mdb为asp就能防下载是鬼话
- C++大师Stan Lippman:我对中国程序员的忠告
- 如何写系统分析书
- 2004年十大X
- 学会开放性的思维
- WebCom.Net 和 Cell报表
- Access数据库安全攻防策略
- 十大优秀企业管理网站
- 网上书籍地址