您现在的位置：尚易科技 >> 新闻资讯 >> 技术前沿 >> 浏览文章

不久前，不知得罪了哪里的高人，服务的几个客户的站点频繁被黑，搞的俺排名下降，在GOOGLE的搜索结果也被视为有病信息，那些小黑客也真是可恨呀，迫不得以，自己找了几位黑客高手交流了一下，对两个站点进行了防黑工作，现在网站稳定多了。
 

1.数据库防下载措施
方法：新增一个<%NoDown%>表。里面写语句，只要不执行ASP语句即可
2.数据库名改为带#%&之类的名称,修改默认的数据库路径为xiuji_Data/#jdzscmyitime#.asa
需要修改的文件
Xiujimanage/conn.asp
Inc/conn.asp
3.修改后台默认路径admin为xiujimanage
需修改的文件：
ProductContent.asp
Inc/ProductContent.asp
4. 将后台数据库备份文本框改只读,方法如下:打开Manage_backup.asp
文件,Ctrl+H查找name=bkDBname value="<%=date()%>"替换name=bkDBname value="<%=date()%>" readonly
如不需要备份数据库这功能可以删除该文件
5.隐藏admin表,方法如下:打开您的数据库,右键点击admin表,点击属性,将隐藏打勾.
6. 将admin表改名为其他名称xj2yuanmanage并隐藏,再将涉及到admin表的程序改动(这个工程很大...)再新建一个admin表,新建user、password两个字段名,随便将两者填充为16位或者32位字母加数字.
涉及到的文件：
Xiujimanage/Admin.asp
Xiujimanage/Addmanagerok.asp
Xiujimanage/Admin_ChkLogin.asp
Xiujimanage/Delmanager.asp
Xiujimanage/Manage_Admin.asp
Xiujimanage/Manage_Main3edit.asp
Xiujimanage/Managereditok.asp
Xiujimanage/Sysadmin_view.asp
7. 将后台编辑器的数据库文件改只读,方法:用flashfxp上传程序后找到该数据库,右键点击,然后属性修改为不能"写入",也就防止了数据库被更新,以后需要用再该回来.
具体位置：xiujimanageSouthidcEditorDatasSouthidcEditor.mdb
8.修改
xiujimanageUserModify.asp
CheckReg.asp
GetPassword.asp
Inc/ CheckReg.asp
Inc/ GetPassword.asp
Xiujimanage/UserModify.asp
Xiujimanage/ Manage_edithonor.asp
Xiujimanage/ Manage_edithonor1.asp
Xiujimanage/ Manage_honor_add.asp
Xiujimanage/ Manage_honor_add1.asp
漏洞描述：可以通过username的值未经过任何过滤。本来他是用username来获取session用户名来进行用户资料的，通过构建一些SQL语句可以拿到后台用户名和MD5的密码，从而进入后台。
解决方法：在UserName=trim(request("UserName"))后加上如下过滤代码
UserName=Replace(UserName,"'","")
UserName=Replace(UserName,"%","")
UserName=Replace(UserName," ","")
UserName=Replace(UserName,"exists","")
UserName=Replace(UserName,"select","")
9. upfile_Other.asp
Inc/ upfile_Other.asp
<%

if EnableUploadFile="NO" then
response.write "系统未开放文件上传功能"
else
if session("AdminName")="" and session("UserName")="" then
response.Write("请登录后再使用本功能！")
else
select case upload_type
case 0
call upload_0() ''使用化境无组件上传类
case else
''response.write "本系统未开放插件功能"
''response.end
end select
end if
end if
%>
EnableUploadFile代表上传文件是否开起，问题在这里
session("AdminName")="" and session("UserName")=""
这个文件的session不仅给管理员用还给普通的用户用，可是前台的用户根本用不上这个，补救的方法就是先把and session("UserName")="" 给去掉。
10.替换所有

职业SEO一定要注意，网站防黑比SEO更重要，一担被人订上，你的排名也就前功尽弃了。