Access数据库在asp中的应用

Access数据库在asp中的应用

肖亮

娄底师专计算机系2004班417000

摘要：本文就在Asp环境下access数据库存在的安全性能问题进行了分析，重点阐述了对access数据库防下载的办法，Asp在Sql查询语句验证存在的漏洞，Asp程序加密码方法等进行了分析，并对其提出了相应的解决办法，并简要说明了access数据库在asp应用当中应注意的几点问题。

关键字：Access 数据库Asp 数据库安全

1引言

Access是Microsoft公司始于1994年发表的微机数据库管理系统。作为一种功能强大的MIS系统开发工具，它具有界面友好，易学易用，开发简单，接口灵活等特点，是一个典型的新一代数据管理和信息系统开发工具。与Microsoft的其他数据库产品如FOXPRO等相比，Access具有较独特的优势-提供了更强大的数据组织,用户管理,安全检查等功能。在一个工作组级别的网络环境中，使用Access开发的多用户数据库管理系统具有传统的XBASE数据库系统所无法比拟的客户服务器(Cient/Server)结构和相应的数据库安全机制。本文拟就Access数据库系统的网络应用及安全机制做较深入的探讨。

ASP（Active server Pages）:“动态服务器网页”是Microsoft 开发的服务端的脚本环境,是目前非常流行的开放式WEB服务器应用程序开发技术；

Access 在Asp环境下使用较多的数据库系，由于Access体积小，调试方便等优点，目前大部分的WEB 程序都利用它作为程序的后台数据库，但是由于Access只是属于文件型的数据库系统，在许多方面的应用还是受到了限制，特别是在安全性能方面，这是一个比较值得注意的地方，本文就针对Access数据库在asp应用的安全和编写程序应注意的地方进行介绍：

2 在asp中使用access数据库时的防下载

Access数据库作为微软推出的以标准JET为引擎的桌面型数据库系统，由于具有操作简单、界面友好等特点，具有较大的用户群体。因此ASP＋Access成为许多中小型网上应用系统的首选方案。但ASP＋Access解决方案在为我们带来便捷的同时，也带来了不容忽视的安全问题。

2.1 ASP＋Access的安全隐患

ASP＋Access解决方案的主要安全隐患来自Access数据库的安全性，其次在于ASP网页设计过程中的安全漏洞。

2.1.1 Access数据库的存储隐患

在ASP＋Access应用系统中，如果获得或者猜到Access数据库的存储路径和数据库名，则该数据库就可以被下载到本地。例如：对于网上书店的Access数据库，人们一般命名为book.mdb、store.mdb等，而存储的路径一般为“URL/database”或干脆放在根目录（“URL/”）下。这样，只要在浏览器地址栏中敲入地址：“URL/database/store.mdb”，就可以轻易地把store.mdb下载到本地的机器中。

2.1.2.Access数据库的解密隐患

由于Access数据库的加密机制非常简单，所以即使数据库设置了密码，解密也很容易。该数据库系统通过将用户输入的密码与某一固定密钥进行异或来形成一个加密串，并将其存储在＊.mdb文件中从地址“＆H42”开始的区域内。由于异或操作的特点是“经过两次异或就恢复原值”，因此，用这一密钥与＊.mdb 文件中的加密串进行第二次异或操作，就可以轻松地得到Access数据库的密码。基于这种原理，可以很容易地编制出解密程序。

由此可见，无论是否设置了数据库密码，只要数据库被下载，其信息就没有任何安全性可言了。

2.1.3 源代码的安全隐患

由于ASP程序采用的是非编译性语言，这大大降低了程序源代码的安全性。任何人只要进入站点，就可以获得源代码，从而造成ASP应用程序源代码的泄露。

2.1.4 程序设计中的安全隐患

ASP代码利用表单（form）实现与用户交互的功能，而相应的内容会反映在浏览器的地址栏中，如果

不采用适当的安全措施，只要记下这些内容，就可以绕过验证直接进入某一页面。例如在浏览器中敲入“……page.asp?x=1”，即可不经过表单页面直接进入满足“x=1”条件的页面。因此，在设计验证或注册页面时，必须采取特殊措施来避免此类问题的发生。

提高数据库的安全性

由于Access数据库加密机制过于简单，因此，如何有效地防止Access数据库被下载,就成了提高ASP ＋Access解决方案安全性的重中之重。

2.2 非常规命名法

防止数据库被找到的简便方法是为Access数据库文件起一个复杂的非常规名字，并把它存放在多层目录下。例如，对于网上书店的数据库文件，不要简单地命名为“book.mdb”或“store.mdb”，而是要起个非常不规则的名字，例如：faq19jhsvzbal.mdb，再把它放在如./akkjj16t/kjhgb661/acd/avccx55 之类的深层目录下。这样，对于一些通过猜的方式得到Access数据库文件名的非法访问方法起到了有效的阻止作用。

2.2.1 使用ODBC数据源

在ASP程序设计中，应尽量使用ODBC数据源，不要把数据库名直接写在程序中，否则，数据库名将随ASP源代码的失密而一同失密。例如：

DBPath = Server.MapPath(“./akkjj16t/

kjhgb661/acd/avccx55/faq19jhsvzbal.mdb ”)

conn.Open “driver={Microsoft Access Driver (＊.mdb)};dbq=” ＆DBPath

可见，即使数据库名字起得再怪异，隐藏的目录再深，ASP源代码失密后，数据库也很容易被下载下来。如果使用ODBC数据源，就不会存在这样的问题了：

conn.open “ODBC－DSN名”

2.2.2 首先在，在Access数据库user.mdb中建立一个表，注意表名第一个字符的ASC字符排列要比其它表名前，例如可以用下划线"_"，然后在表中建立一个文本字段，然后填写内容为；将*.mdb改名为*.asp，完毕。在数据库中任意新建一个字段，关于表名第一个字符的ASC字符排列要比其它表名前的原因。如果有人想下载Access数据库，可以直接在浏览器打开对应地址，保护表的表名如果较后的话，IIS或PWS 服务器在处理假ASP文件user.asp时，还没处理到保护表时，就很有可能已经浏览器上显示不少内容，然后才出现的错误信息。如果刚巧有用户密码的话，后果就难预料了。

压缩和修复数据库的作用是为了将数据库中所有表按ASC 字符排列重新排序。可以的话，保护表中字段类型是OLE对象效果会更好。为什么要改名为asp这是因为.iis在遇到.asp的文件时时对此文件进行解释，当遇到这里时报错。

2.3 修改数据库名

2.3.1修改数据库名。这是常用方法，将数据库名该成怪异名字或长名字，以防别人猜测。一旦被人猜到，别人还是能下载数据库文件，但几率不大。如将数据库database.mdb改成dslfjds$^&ijjkgf.mdb等

2.3.2 修改数据库后缀。一般改成database.asp 、database.asa、database.inc、database.cgi、database.dll等等，注意要在IIS中设置这些后缀的文件不能被解析。

2.3.3 将数据库database.mdb改成#database.mdb 。这是最简单有效的办法。

分析：假设别人得到你的数据库地址串将是：

https://www.360docs.net/doc/c212300467.html,/yourfolder/#database.mdb

但实际上他得到是：https://www.360docs.net/doc/c212300467.html,/yourfolder/

因为#在这里起到间断符的作用，地址串遇到#号，自动认为访问地址串结束。注意：不要设置目录可访问。用这种方法，不管别人用何种工具都无法下载，如flashget，网络蚂蚁等。

注：只要数据库文件名任何地方含有'#'，别人都无法正常下载。同理，空格号也可以起到'#'号作用，但必须是文件名中间出现空格。

3 对ASP页面进行加密

为有效地防止ASP源代码泄露，可以对ASP页面进行加密。一般有两种方法对ASP页面进行加密。一

种是使用组件技术将编程逻辑封装入DLL之中；另一种是使用微软的Script Encoder对ASP页面进行加密，使用组件技术存在的主要问题是每段代码均需组件化，操作比较烦琐，工作量较大；而使用Script Encoder对ASP页面进行加密，操作简单、收效良好。Script Encoder方法具有许多优点：

3.1 HTML仍具有很好的可编辑性。Script Encoder只加密在HTML页面中嵌入的ASP代码，其他部分仍保持不变，这就使得我们仍然可以使用FrontPage或Dreamweaver等常用网页编辑工具对HTML部分进行修改、完善，只是不能对ASP加密部分进行修改，否则将导致文件失效。

3.2操作简单。只要掌握几个命令行参数即可。

但这些方法也不是最佳的解决方法，现在以互联网上面以经出现了各种asp的反汇编的工作，用那些工具就可以很间单地把加密码的asp文件反编译过来。

最好的办法还是把asp使用组件技术将编程逻辑封装入DLL之中。

4 ASP程序密码验证的漏洞

什么是「ASP程序密码验证的漏洞」呢？大家常看到的网页登入画面，应该在很多网站、讨论区、下载区、留言版…..等等的地方，都有看到的画面。

请看下面的列子：

……

userid=request(“userid”)

password=request(“password”)

sql="select * from user where userid='"&userid&"' and password='"&password&"'"

rs.open sql,conn,1,1

if rs.eof then …如果打不到合法记录

Response.redirect "error.asp"

Response.end

end if

response.redirect "user.asp" …验证成功，转到的页面

rs.close

…..这是一个典型的用于验证用户用和密码的程序。功能是取得客户端提交过来的用户名和密码。再拿用户名和密码到数据库中查询。如果查询到相对应记录，就认为是验证成功，否则转到错的页面。从表面上看来这里没有什么问题。如果按正常的来操作也不会出问题，但是我们现在输入一个用户名：ben' or '1'='1? 密码也是一样。我们把这个代入到sql查询语句中来看sql="select * from user where userid= ben' or '1'='1? and password= ben' or '1'='1?"

仔细一看可以看出，or 是一个逻辑运算符,作用是在判断两个条件的时候,只要其中一个条件成立,那么等式将会成立.而在语言中,是以1来代表真的(成立).那么在这行语句中,原语句的"and"验证将不再继续,而因为"1=1"和"or"令语句返回为真值.。另外我们也可以构造以下的用户名：

username='aa' or username〈〉'aa'

pass='aa' or pass〈〉'aa'

相应的在浏览器端的用户名框内写入：aa' or username〈〉'aa

口令框内写入：aa' or pass〈〉'aa,注意这两个字符串两头是没有'的。

这样就可以成功的骗过系统而进入。

那我们怎么解决这个问题，大家仔细一看用户名和密码就会知道，每个中都有, = [ ] 这样的我们就可以把验证的加入以下语句：

if Instr(username,"=")>0 or Instr(username,"%")>0 or Instr(username,chr(32))>0 or Instr(username,"?")>0 or Instr(username,"&")>0 or Instr(username,";")>0 or Instr(username,",")>0 or Instr(username,"'")>0 or Instr(username,",")>0 or Instr(username,chr(34))>0 or Instr(username,chr(9))>0

or Instr(username," ")>0 then

Response.redirect "error.asp"

else

if Instr(password,"=")>0 or Instr(password,"%")>0 or Instr(password,chr(32))>0 or Instr(password,"?")>0 or Instr(password,"&")>0 or Instr(password,";")>0 or Instr(password,",")>0 or Instr(password,"'")>0 or Instr(password,",")>0 or Instr(password,chr(34))>0 or Instr(password,chr(9))>0 or Instr(password," ")>0 then

Response.redirect "error.asp"

else

end if

end if

这个代码的意思是，如果在用户名和密码中出现特殊的符号就报错转向到错误的页面；这样就可以防止非法进入。

5 Access中asp应用中应注意的问题

Access数据库在用的过程中, 经常不断的进行删除和增加记录的操作,会出现以下问题:

5. 1. 可能会使Update语句更新失败, 明明一条记录存在, 也可以select到,但在用Update时出现找不到记录, 更新失败的错

误信息.

5.2 会使数据库增大, 并且降低数据库操作的效率

5.3 在删除记录时也不会减少数据库的大小, 并且没有可以改善数据库的相应语句

用Access软件打开, 并用"修复和压缩数据库"工具进行处理, 保存后再重新上传并覆盖掉原来的数据

库即可解决以上的所有问题. 这种办法比较只适合于中小型的数据库, 大的如果采用上下载的办法太慢了. access数据库存用久了就会使数库据变大，修复和压缩数据库"工具进行处理一下就会使数据库减少很多。

6 结论

用access数据库做为网站后台数据库，可以很方便的调试，对于数据量比较少的数据情况下不失为最佳的选择，但access只是文本型的数据库存，在安全性能数据处理方面都不怎么样，如果在数据处理量较大，安全性能要求高的数据库系统最好是采用ms SQL DB等大型数据库。