打印

[讨论]iis下的数据库防下载终极技巧

linzi

荣誉会员

Rank: 6 Rank: 6 Rank: 6

帖子: 154
精华: 12
积分: 3798
阅读权限: 100
性别: 男
在线时间: 22 小时
注册时间: 2005-2-3
最后登录: 2008-11-6

发短消息
加为好友
当前离线

楼主大中小发表于 2005-9-7 10:45 只看该作者

[讨论]iis下的数据库防下载终极技巧

议题提交：linzi[B.C.T]
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

读大学了,这段时间也没多大的时间上网,好久没发贴了,就贴个这个贴子吧,对于为什么不能下载的原因希望大家一起讨论一下,还有其它平台未测试,希望有时间的哥们测试一下.

测试平台:windows 2003 +iis 6.0
在IE下访问扩展为.eip的文件会出现404错误，所以当我们对于access的数据库把扩展改为.eip就可以在一定程度上防止下载和对数据库路径的猜测。
ps:我在测试netbox时发现不会出现404,说明可能是IIS的特性.
把数据库扩展改成.eip在目前不但可以防下载,而且可以防止别人的暴力猜解,或许对你来说是一个不错的选择

此ID为马甲.多人使用.

TOP

代码罐头

技术核心组

Rank: 8 Rank: 8

E.S.T顾问团成员运营顾问

帖子: 692
精华: 12
积分: 2295
阅读权限: 200
性别: 男
在线时间: 727 小时
注册时间: 2013-11-26
最后登录: 2008-10-26

优秀管理奖核心建议奖原创技术奖技术活跃奖

发短消息
加为好友
当前离线

沙发大中小发表于 2005-9-7 11:19 只看该作者

应该是IIS的MIME TYPE里面不存在对应的文件后缀格式
你可以随便选一个不存在的MIME TYPE来做后缀
也会有相同的效果.

连入侵者都敢说自己在做网络安全。关键大家是真正为安全作过什么？

TOP

andyower

荣誉会员

Rank: 6 Rank: 6 Rank: 6

帖子: 159
精华: 6
积分: 470
阅读权限: 100
在线时间: 87 小时
注册时间: 2005-3-4
最后登录: 2006-4-19

发短消息
加为好友
当前离线

椅子大中小发表于 2005-9-7 12:52 只看该作者

只能在win2003下的iis6下才这样
默认情况下
禁止所有的扩展
如果不开启
就是连asp也会出现404

TOP

kevin1986

荣誉会员

Rank: 6 Rank: 6 Rank: 6

E.S.T论坛贵宾

帖子: 325
精华: 12
积分: 3936
阅读权限: 100
性别: 男
在线时间: 308 小时
注册时间: 2005-2-5
最后登录: 2008-8-23

发短消息
加为好友
当前离线

板凳大中小发表于 2005-9-7 16:11 只看该作者

哪个,Sorry Linzi...
昨天很忙发现的时候没和你做测试.(我那个时候找那个QQ可能溢出的地方找的太疯狂了.没顾的上)
今天把这个eip传到服务器上的时候,(IIS 5) 发现是可以下载的.估计是IIS6的MIME那里你主机没设置好吧.

me=\"kEvin1986\" & chr(0) & \"at solitude\" msgbox len(me) \' You can see somthing. msgbox me \' But just part of it. \'i think i will hide part of myself

TOP

勇敢的风

技术核心组

Rank: 8 Rank: 8

E.S.T顾问团成员技术顾问

帖子: 197
精华: 28
积分: 5191
阅读权限: 200
性别: 男
来自: 河南洛阳
在线时间: 126 小时
注册时间: 2004-11-21
最后登录: 2008-8-27

软件研发奖技术活跃奖运营支持奖

发短消息
加为好友
当前离线

地板大中小发表于 2005-9-8 10:43 只看该作者

在MIME列表中将mdb删除了就可以。
不过防止mdb下载还有一个方法就是放在非web目录中。

风，有时静，有时猛风，有时喜，有时恨风，有时大，有时小我，我是风，我爱风我是风流的风

TOP

winston

晶莹剔透§烈日灼然

Rank: 1

帖子: 12
精华: 0
积分: 61
阅读权限: 40
在线时间: 26 小时
注册时间: 2004-12-6
最后登录: 2008-9-5

发短消息
加为好友
当前离线

6楼大中小发表于 2005-9-8 11:13 只看该作者

linzi 我在２０００的服务器上测试的结果是一样的．可以下载．

我们的目的是提高

TOP

focn

荣誉会员

Rank: 6 Rank: 6 Rank: 6

帖子: 17
精华: 2
积分: 264
阅读权限: 100
性别: 男
在线时间: 10 小时
注册时间: 2005-5-26
最后登录: 2007-3-24

发短消息
加为好友
当前离线

7楼大中小发表于 2005-9-8 13:26 只看该作者

好象是iis6没有映射的缘故

TOP

mtryer

晶莹剔透§烈日灼然

Rank: 1

帖子: 15
精华: 0
积分: 48
阅读权限: 40
性别: 男
在线时间: 34 小时
注册时间: 2005-9-7
最后登录: 2007-10-1

发短消息
加为好友
当前离线

8楼大中小发表于 2005-9-8 14:43 只看该作者

勇敢的风放在非WEB目录中，可以在WEB页面中调用吗？
我没有做过测试，也不知道如何调用。

我现在是设想：
1。如果只是利用WEB程序读数据库。这个方法也许行的通
2。如果要利用WEB写到数据库。这个方法也行吗？

TOP

代码罐头

技术核心组

Rank: 8 Rank: 8

E.S.T顾问团成员运营顾问

帖子: 692
精华: 12
积分: 2295
阅读权限: 200
性别: 男
在线时间: 727 小时
注册时间: 2013-11-26
最后登录: 2008-10-26

优秀管理奖核心建议奖原创技术奖技术活跃奖

发短消息
加为好友
当前离线

9楼大中小发表于 2005-9-8 19:05 只看该作者

用mappath就可以访问到了.

连入侵者都敢说自己在做网络安全。关键大家是真正为安全作过什么？

TOP

红豆

晶莹剔透§烈日灼然

Rank: 1

帖子: 5
精华: 0
积分: 16
阅读权限: 40
性别: 男
在线时间: 10 小时
注册时间: 2005-2-27
最后登录: 2008-5-17

发短消息
加为好友
当前离线

10楼 大中小发表于 2005-9-9 01:45 只看该作者

我觉得放到非web目录好些可以../ 这样去调用数据库。。然后对数据库赋予写的权限就可以。。还是觉得这样安全些。

TOP

edward

荣誉会员

Rank: 6 Rank: 6 Rank: 6

E.S.T论坛贵宾

帖子: 22
精华: 0
积分: 3054
阅读权限: 100
在线时间: 19 小时
注册时间: 2005-2-25
最后登录: 2008-10-15

发短消息
加为好友
当前离线

11楼 大中小发表于 2005-9-9 11:05 只看该作者

用某一个gif解析mdb !
通过限制禁止web访问data等文件夹

TOP

代码罐头

技术核心组

Rank: 8 Rank: 8

E.S.T顾问团成员运营顾问

帖子: 692
精华: 12
积分: 2295
阅读权限: 200
性别: 男
在线时间: 727 小时
注册时间: 2013-11-26
最后登录: 2008-10-26

优秀管理奖核心建议奖原创技术奖技术活跃奖

发短消息
加为好友
当前离线

12楼 大中小发表于 2005-9-10 17:34 只看该作者

>>通过限制禁止web访问data等文件夹 ???

那你ASP文件怎么访问到数据库?

连入侵者都敢说自己在做网络安全。关键大家是真正为安全作过什么？

TOP

勇敢的风

技术核心组

Rank: 8 Rank: 8

E.S.T顾问团成员技术顾问

帖子: 197
精华: 28
积分: 5191
阅读权限: 200
性别: 男
来自: 河南洛阳
在线时间: 126 小时
注册时间: 2004-11-21
最后登录: 2008-8-27

软件研发奖技术活跃奖运营支持奖

发短消息
加为好友
当前离线

13楼 大中小发表于 2005-9-10 22:21 只看该作者

数据库非web目录使用方法
目录情况如下：
d:\myweb\wwwroot 该目录放置web内容（该目录为iis站点主目录）
d:\myweb\datebase 该目录放置数据库（Access数据库）
以上两个目录的权限应继承d:\myweb目录的权限

读取数据库的代码示例：
d:\myweb\wwwroot\conn.asp

Set conn = Server.CreateObject("ADODB.Connection")
conn.Open "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & Server.MapPath("../datebase/Access.mdb")

风，有时静，有时猛风，有时喜，有时恨风，有时大，有时小我，我是风，我爱风我是风流的风

TOP

逍遥天下

晶莹剔透§烈日灼然

Rank: 1

帖子: 23
精华: 0
积分: 178
阅读权限: 40
性别: 男
来自: 成都
在线时间: 7 小时
注册时间: 2005-6-17
最后登录: 2008-1-30

发短消息
加为好友
当前离线

14楼 大中小发表于 2005-9-28 12:55 只看该作者

数据库防下载有两种方法
一是在IIS服务器的脚本映射中去把.mdb的脚本映射指定到一个内容为空的的DLL文件上去
二是修改数据库的后缀名为任意，比如*.mdb修改为*.xy，当然也被忘记在数据库连接文件中也要去修改

本来要取逍遥一指令的

TOP