DDR爱好者之家

浅谈ASP数据库下载漏洞
站长资源 2024/11/24 佚名
71 1538
DDR爱好者之家 Design By 杰米

作为脚本漏洞的头号杀手锏——数据库下载漏洞，现在已经被越来越多的人所熟知。在这个信息化技术更新飞快的时代，漏洞产生后随之而来的就是各种应对 的招数，比如改数据库的后缀、修改数据库的名字等等。很多人以为只要这么做就可以解决问题了，但事实往往不如你我所愿，即使你这么做了也难逃被高手攻击的 命运。为此我们有必要去了解一些攻击的手法，来增强自己的安全技能。

1．强制下载后缀名为ASP、ASA的数据库文件

大多数的网管为了节省时间，网站上的文章系统、论坛等程序都是直接下载别人的源程序再经过部分修改后使用的。而现在很多人做的ASP源程序都已经将 数据库的后缀由原先的MDB改为了ASP或ASA。本来这是好事，但在这个信息极度膨胀的社会，老的方法所能维持的时间毕竟有限。对于ASP或ASA后缀 的数据库文件，黑客只要知道它们的存放位置，就能轻易地用迅雷这样的下载软件下载得到。图1即笔者利用迅雷下载到的数据库文件（注意数据库的后缀为 ASP）。

2．致命符号——＃

很多网管以为在数据库前面加个#号就可以防止数据库被下载。是啊，我当时也认为IE是无法下载带有#号的文件的(IE会自动忽略#号后面的内容)。但是“成也萧何，败也萧何”，我们忘记了网页不仅能通过普通的方法访问，而且用IE的编码技术也能访问到。
在IE中，每个字符都对应着一个编码，编码符%23就可以替代#号。这样对于一个只是修改了后缀并加上了#号的数据库文件我们依然可以下载。比 如#data.mdb为我们要下载的文件，我们只要在浏览器中输入%23data.mdb就可以利用IE下载该数据库文件，这样一来，#号防御手段就形同 虚设一般。

3．破解Access加密数据库易如反掌

有些网管喜欢对Access数据库进行加密，以为这样一来就算黑客得到了数据库也需要密码才能打开。但事实正好相反，由于Access的加密算法太 脆弱，所以黑客只要随便到网上找一个破解Access数据库密码的软件，不用几秒钟就能得到密码。这样的软件网上有很多，比如Accesskey。

4.瞬杀——数据暴库技术

本身数据库暴库技术应该是属于脚本漏洞的行列，之所以拿到这里来说是因为它在数据库下载漏洞中起到了举足轻重的作用，如果仔细一点，读者会发现上面 的技巧都是假定知道数据库名的情况下才能实施的。但很多时候我们根本不可能知道数据库的名字，这时我们可能会感到很沮丧，觉得无法再进行下去，但数据库暴 库技术的出现不仅可以一扫我们的沮丧情绪，也能让我们真正地将前面的技术综合起来利用。
很多人在用ASP写数据连接文件时，总会这么写(conn.asp)：

…… 
db="data/rds_dbd32rfd213fg.mdb" 
Set conn = Server.CreateObject("ADODB.Connection") 
connstr="Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & Server.MapPath(db) 
conn.Open connstr 
function CloseDatabase 
Conn.close 
Set conn = Nothing 
……

这段语句看上去觉得并没什么问题，而且数据库的名字取得很怪，如果没有数据库暴库技术我们能猜到这样的数据库名的几率几乎为零。但就是这么简短的语 句却隐藏着无限的信息。可以说网上绝大部分的程序都存在这个漏洞。我们只要将地址栏上在数据连接文件conn.asp(一般为这个)前的/用%5c替代就 可以暴到数据库的位置，接下来的事情应该不需要我说了吧？大家只要开动脑筋没有什么事情是做不成的。

以上所述就是本文的全部内容了，希望大家能喜欢

DDR爱好者之家 Design By 杰米
广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！
DDR爱好者之家 Design By 杰米
ddrfans.com DDR爱好者之家
8,675无损音乐
1,324高清电影
213破解软件
70,141收录资讯

《魔兽世界》大逃杀！60人新游玩模式《强袭风暴》3月21日上线

暴雪近日发布了《魔兽世界》10.2.6 更新内容，新游玩模式《强袭风暴》即将于3月21 日在亚服上线，届时玩家将前往阿拉希高地展开一场 60 人大逃杀对战。

艾泽拉斯的冒险者已经征服了艾泽拉斯的大地及遥远的彼岸。他们在对抗世界上最致命的敌人时展现出过人的手腕，并且成功阻止终结宇宙等级的威胁。当他们在为即将于《魔兽世界》资料片《地心之战》中来袭的萨拉塔斯势力做战斗准备时，他们还需要在熟悉的阿拉希高地面对一个全新的敌人──那就是彼此。在《巨龙崛起》10.2.6 更新的《强袭风暴》中，玩家将会进入一个全新的海盗主题大逃杀式限时活动，其中包含极高的风险和史诗级的奖励。

《强袭风暴》不是普通的战场，作为一个独立于主游戏之外的活动，玩家可以用大逃杀的风格来体验《魔兽世界》，不分职业、不分装备（除了你在赛局中捡到的），光是技巧和战略的强弱之分就能决定出谁才是能坚持到最后的赢家。本次活动将会开放单人和双人模式，玩家在加入海盗主题的预赛大厅区域前，可以从强袭风暴角色画面新增好友。游玩游戏将可以累计名望轨迹，《巨龙崛起》和《魔兽世界：巫妖王之怒 经典版》的玩家都可以获得奖励。

更新日志

友情链接

杰晶网络 DDR爱好者之家 南强小屋 黑松山资源网 白云城资源网
DDR爱好者之家 Design By 杰米