堵住ASP漏洞

的任何文件。即使是 ntfs 分区，如果权限没有设定好的话，同样也能破坏，一不小心你就可能遭受“灭顶之灾”。遗憾的是很多 webmaster 只知道让 web 服务器运行起来，很少对 ntfs 进行权限设置，而 NT 目录权限的默认设置偏偏安全性又低得可怕。因此，如果你是 Webmaster，作者强烈建议你密切关注服务器的设置，尽量将 web 目录建在 ntfs 分区上，目录不要设定 everyone full control，即使是是管理员组的成员一般也没什么必要 full control，只要有读取、更改权限就足够了。
四、 ASP 应用程序可能面临的攻击过去许多 Internet 上 CGI 写的留言本或 BBS 是把客户输入的留言变为一个变量，然后再把这个变量插入到显示留言的 HTML 文件里，因此客户输入的文本如要在 HTML 文件里显示就得符合 HTML 标准，而 CGI 程序里一般都加入了特定的 HTML 语言。当客户输入内容，插入 HTML 文件时，即同时插入到了头尾 HTML 语句中，如：

　　 < font> 客户输入的变量 < /font> 但如果把前后的 HTML 标记给敝屏了，就可以做很多事情了。

　　如输入时打上：

　　 < /font> 符合 HTML 标准的语句 < font> 前后的 < font> 是用来敝屏 CGI 中的 HTML 语句用的。插入到 HTML 文件里的就变成了：

　　 < font>< /font> 符合 HTML 标准的语句 < font>< /font> 由于这样一个特性，使得写个 javascript 的死循环变得非常容易，只要在输入框中输入：

　　< a href="URL" onMouseover="while(1){window.close('/')}"> 或 < a herf="URL" onMousever="while(ture){window.close('/')}"> 那么就能让其他查看该留言的客户的浏览器因死循环而死掉。 ASP 开发的程序同样可能存在这个问题，因此当你用 asp 编写类似程序时应该做好对此类操作的防范，譬如可以写一段程序判断客户端的输入，并屏蔽掉所有的 HTML、 Javascript 语句。