也談ASP+ACCESS網站安全

把data.mdb文件改名爲data.asp文件後放在wwwroot目錄裏。然後 在IE中輸入data.asp路徑後，發現IE顯示一片空白，右鍵->察看源文件，跳出記事本，將內容另存爲.mdb文件 ，用ACCESS打開，發現需要密碼，也就是說至少文件頭被破壞。
然後用Flashget試驗下載data.asp文件，並另存爲data.mdb文件，發現用ACCESS打開完好無損！！！看 來，好一些編程人員在開發的時候都認爲，改了mdb後綴爲asp就能防下載的概念，是錯的！後臺數據庫被下載對於一個asp+a ccess的網站來說無疑是一場慘絕人寰的災難。今天找了各方的文章，歸納一下有以下9種辦法防止數據庫被下載(歡迎補充)：& nbsp;


1.發揮你的想象力 修改數據庫文件名
不用說，這是最最偷懶的方法，但是若***者通過第三方途徑獲得了數據庫的路徑)，就玩完了。比如說***者本來只能拿到list權 ，結果意外看到了數據庫路徑，就可以冠冕堂皇地把數據庫下載回去研究了。另外，數據文件通常大小都比較大，起再隱蔽的文件名都瞞 不了人。故保密性爲最低。


2.數據庫名後綴改爲ASA、ASP等

此法須配合一些要進行一些設置，否則就會出現本文開頭的那種情況

(1)二進制字段添加(此招我還沒有煉成-_-+)。

(2)在這個文件中加入，IIS就會按ASP語法來解析，然後就會報告500錯誤，自然不能下載了。可是 如果只是簡單的在數據庫的文本或者備註字段加入< % 是沒用的，因爲ACCESS會對其中的內容進行處理，在數據庫裏他會以 < % 的形式存在，無效！正確的方法是將< % 存入OLE對象字段裏，這樣我們的目的就能達到了。&nbs p;
作方法：
首先，用notepad新建一個內容爲 < % 的 文本文件，隨便起個名字存檔。
　　接着，用Access打開您的數據庫文件，新建一個表，隨便起個名字，在表中添加一個OLE對象的字段，然後添加一個記錄， 插入之前建立的文本文件，如果操作正確的話，應該可以看到一個新的名爲"數據包＂的記錄。即可
3.數據庫名前加"#"
　　只需要把數據庫文件前名加上#、然後修改數據庫連接文件（如conn.asp）中的數據庫地址。原理是下載的時候只能識別& nbsp;#號前名的部分，對於後面的自動去掉，比如你要下載http://www.pcdigest.com/date/# 123.mdb(假設存在的話）。無論是IE還是FLASHGET等下到的都http://www.test.com/dat e/index.htm(index.asp、default.jsp等你在IIS設置的首頁文檔)
　　另外在數據庫文件名中保留一些空格也起到類似作用，由於HTTP協議對地址解析的特殊性，空格會被編碼爲" % ",如http ://www.test.com/date/123 ;456.mdb，下載的http://www. test.com/date/123 % 456.mdb。而我們的目錄就根本沒有123 % 456.mdb這個文件，所 以下載也是無效的這樣的修改後，即使你暴露了數據庫地址，一般情況下別人也是無法下載！


4.加密數據庫
　　
大家可以按以下步驟來加密你的ACCESS數據庫：

在Access編輯窗口（未打開任何數據庫文件），選擇“工具”菜單，單擊“安全”，再單擊“加密/解密數據庫”，在“加密/解密數據庫”窗口中選取數據庫（如：#FooSun_Date.asa;注：進行這些操作前請備份，以防不測），然後按“確定”，接着會出現“數據庫加密後另存爲”的窗口，將其保存爲#FooSun_Data1.mdb。接着，#FooSun_Data1.mdb就會被編碼，然後存爲#FooSun_Data1.mdb。要注意的是，以上的動作並不是對數據庫設置密碼，而只是對數據庫文件加以編碼，目的是爲了防止他人使用別的工具來查看數據庫文件的內容。
接下來我們爲數據庫加密。首先打開經過編碼的#FooSun_Data1.mdb，在打開時，選擇“獨佔”方式(根據ACCESS版本的不同，有的會出現，有的不會出現)，然後選擇“工具”菜單->“安全”->“設置數據庫密碼”，接着輸入密碼即可。爲#FooSun_Data1.mdb設置密碼之後，如果再使用Access數據庫文件，則Access會先要求輸入密碼，驗證正確後才能夠啓動數據庫。對數據庫加密後，要在ASP程序中使用，就需要在ASP程序中的connection對象的open方法中增加PWD的參數，例如：


ConnStr = "DBQ=" + server.mappath("/bisenet/FooSun_Data/#FooSun_Data.asa") + ";DefaultDir=;Pwd=111(注：此處的“111”爲你設置的ACCESS數據庫的密碼);DRIVER={Microsoft Access Driver (*.mdb)};"

接下來的工作就是將#FooSun_Data1.mdb這個文件改名爲 #FooSun_Data.asa（或是改名爲你原來用的那個數據庫文件的名稱）放到原來的那個數據庫文件的位置上去
這樣，即使他人得到了#FooSun_Data.asa文件，沒有密碼他是無法看到#FooSun_Data.asa的。



5.數據庫放在WEB目錄外或將數據庫連接文件放到其他虛擬目錄下
　　如你的WEB目錄是e:\webroot，可以把數據庫放到e:\data這個文件夾裏，在e:\webroot裏的數據庫 連接頁中修改數據庫連接地址爲："../data/數據庫名" 的形式，這樣數據庫可以正常調用，但是無法下載的，因 爲它不在WEB目錄裏！這個方法一般也不適合購買虛擬空間的用戶。


6.使用ODBC數據源。
　　在ASP等程序設計中，如果有條件，應儘量使用ODBC數據源，不要把數據庫名寫在程序中，否則，數據庫名將隨ASP源代碼 的失密而一同失密，例如： DBPath = Server.MapPath("../123/ abc/asfadf.mdb ")
conn.open "driver={Microsoft Access Driver&nb sp;(*.mdb)};dbq="& DBPath
　　可見，即使數據庫名字起得再怪異，隱藏的目錄再深，ASP源代碼失密後，也很容易被下載下來。如果使用ODBC數據源，就不 會存在這樣的問題了： conn.open "ODBC-DSN名" ,不過這樣是比較煩的，目 錄移動的話又要重新設置數據源了，更方便的方法請看第7，8法！


7.添加數據庫名的如MDB的擴展映射
　　這個方法就是通過修改IIS設置來實現，適合有IIS控制權的朋友，不適合購買虛擬主機用戶(除非管理員已經設置了）。這個 方法我認爲是目前最好的。只要修改一處，整個站點的數據庫都可以防止被下載。無須修改代碼即使暴露目標地址也可以防止下載。&n bsp;
　　我們在IIS屬性---主目錄---配置---映射---應用程序擴展那裏添加.mdb文件的應用解析。注意這裏的選擇的D LL（或EXE等）似乎也不是任意的，選擇不當，這個MDB文件還是可以被下載的， 注意最好不要選擇選 擇asp.dll等。你可以自己多測試下
　　這樣修改後下載數據庫如http://www.test.com/data/dvbbs6.mdb。就出現（404或50 0等錯誤）


8：使用.net的優越性
　　動網的木鳥就寫過一個防非法下載文件的"WBAL 防盜鏈工具"。具體可以登http://www.9seek .com/WBAL/ ;
　　不過 那個只實現了防止非本地下載的 ，沒有起到真正的防下載數據庫的功能。不過這個方法已經跟5法差 不多可以通過修改.NET文件，實現本地也不能下載！

　　這幾個方法中，只有第7和8個是統一性改的，一次修改配置後，整個站點的數據庫都可以防止下載，其他幾個就要分別修改數據庫 名和連接文件，比較麻煩，不過對於虛擬主機的朋友也只能這樣了！

　　其實第6個方法應該是第5個方法的擴展，可以實現特殊的功能，但對於不支持.net的主機或者怕設置麻煩的話，還是直接用第 5個方法了，而且默認情況下第6個方法，依然可以通過複製連接到同主機的論壇或留言本發表，然後就可以點擊下載了（因爲這樣的引 用頁是來自同主機的）

9.利用NTFS分區的文件權限設置(by percyboy)
我們已經知道，ASP.NET 中使用 ADO.NET 訪問數據庫，通過 OleDb 的連接可以訪問 Access 數據庫— —我們非常常用的低端數據庫之一。本文討論了 ASP.NET 中可能看到的若干錯誤提示，從中看到&nb sp;Access 2000 和 Access XP 創建的數據庫文件 ，在訪問出現錯誤時會出現不太相同的錯誤提示。希望對大家有所幫助。另一個要點是，希望通過此文，使大家對 ASP. NET 中 Access 數據庫文件的 NTFS 權限設置有所新的認識 。


(一)實驗過程


爲了敘述方便，舉個具體例子做個實驗：應用程序爲 /test ，數據庫存放在 D:\wwwr oot\test\data\db1.mdb，我們已經知道在 ASP.NET 中是以一個叫做 ;ASPNET 虛擬用戶的身份訪問數據庫的，我們需要給這個賬戶以特定的 NTFS 權限才能 使 ASP.NET 程序正常運行。



爲了得到最嚴格的 NTFS 權限設置，實驗開始時我們給程序最低的 NTFS 權限 ：

a) D:\wwwroot\test\data\ 文件夾的給用戶ASPNET 以如下權限：
允許 拒絕
完全控制 &n bsp; □ & nbsp;□
修改 &nbs p; &nbs p;□ □
讀取及運行 & nbsp; √ □ ;
列出文件夾目錄 ; √ □
讀取 &nbs p; &nbs p;√ □
寫入 &nbs p; &nbs p;□ □

b) D:\wwwroot\test\data\db1.mdb 文件本身給用戶ASPNET以如下權限：
√ 允許將來自父系的可繼承權限傳播給該 對象



1.1 對於某個只包含有"SELECT"命令的aspx程序，上述權限設置運行時無障礙，即：上述權限 已經滿足這類程序的運行了。


1.2 對於包含有"UPDATE""INSERT""UPDATE"等命令的aspx程序， ;

(a) 如果 db1.mdb 是 Access 2000 創 建的數據庫，出現如下錯誤：

"/test"應用程序中的服務器錯誤。
---------------------------------------
Microsoft Jet 數據庫引擎打不開文件D:\wwwroot\test\data\。&n bsp;它已經被別的用戶以獨佔方式打開，或沒有查看數據的權限。
說明: 執行當前 Web 請求期間，出現未處理的異常。請檢查堆棧跟蹤信息，以瞭解有關該錯誤 以及代碼中導致錯誤的出處的詳細信息。
異常詳細信息: System.Data.OleDb.OleDbException: Microsof t Jet 數據庫引擎打不開文件D:\wwwroot\test\data\。 它已經被 別的用戶以獨佔方式打開，或沒有查看數據的權限。


(b) 如果 db1.mdb 是 Access XP 創建的 數據庫，出現如下錯誤：

"/test"應用程序中的服務器錯誤。
----------------------------------------------
操作必須使用一個可更新的查詢。
說明: 執行當前 Web 請求期間，出現未處理的異常。請檢查堆棧跟蹤信息，以瞭解有關該錯誤 以及代碼中導致錯誤的出處的詳細信息。
異常詳細信息: System.Data.OleDb.OleDbException: 操作必須使用一個 可更新的查詢。


(c) 原因初步分析：因爲包含有"UPDATE""INSERT""UPDATE"等命令，需要對數據庫文件本身進 行寫入操作，所以上述權限不能滿足此需求，我們需要進一步放開權限。

我們放開一些權限，
a) D:\wwwroot\test\data\ 文件夾不變： & nbsp;

b) D:\wwwroot\test\data\db1.mdb 文件本身給用戶ASPNET以如下權限：
允許 拒絕
完全控制 &n bsp; □ & nbsp;□
修改 &nbs p; &nbs p;□ □
讀取及運行 & nbsp; √ □ ;
列出文件夾目錄 ; √ □
讀取 &nbs p; &nbs p;√ □
寫入 &nbs p; &nbs p;√ □



1.3 放開權限後繼續實驗，

(a) 如果 db1.mdb 是 Access 2000 創 建的數據庫，出現如下錯誤：

"/test"應用程序中的服務器錯誤。
------------------------------------------
不能鎖定文件。
說明: 執行當前 Web 請求期間，出現未處理的異常。請檢查堆棧跟蹤信息，以瞭解有關該錯誤 以及代碼中導致錯誤的出處的詳細信息。
異常詳細信息: System.Data.OleDb.OleDbException: 不能鎖定文件。& nbsp;


(b) 如果 db1.mdb 是 Access XP 創建的 數據庫，沒有出現錯誤。


(c) 原因初步分析：我們發現在打開 Access 數據庫時，同時會在所在目錄生成一個同名 的 *.ldb 文件，這是一個 Access 的鎖定標記。鑑於此，我們猜測，用戶 ASPNET 訪問 Access 數據庫時，也需要生成一個鎖定標記，而該目錄沒 有允許其寫入，因此出錯。至於 Access XP 創建的數據庫爲什麼沒有這個錯誤，原因還不 得而知。

我們進一步放開權限，
a) D:\wwwroot\test\data\ 文件夾給用戶ASPNET以 如下權限：
允許 拒絕
完全控制 &n bsp; □ & nbsp;□
修改 &nbs p; &nbs p;□ □
讀取及運行 & nbsp; √ □ ;
列出文件夾目錄 ; √ □
讀取 &nbs p; &nbs p;√ □
寫入 &nbs p; &nbs p;√ □

b) D:\wwwroot\test\data\db1.mdb 文件本身給用戶ASPNET以如下權限：
√ 允許將來自父系的可繼承權限傳播給該 對象



1.4 繼續實驗，發現錯誤已解決，那麼上面這個權限就是我們需要放開的"最低權限"。

(a) 如果 db1.mdb 是 Access 2000 創 建的數據庫，我們會發現一個小問題：生成的 *.ldb 文件不會自己刪除，訪問後該文件依然存在，但這個 問題不會影響 ASP.NET 的正常運行。


(b) 如果 db1.mdb 是 Access XP 創建的 數據庫，沒有出現上面類似問題。


(c) 原因初步分析：我們僅僅是給了 ASPNET 以寫入文件夾的權限，沒有給它修改的權限 ，所以文件一旦寫入，便無法修改其內容，*.ldb 也就刪除不掉了。


如果非要解決這個問題，進一步放開權限爲：
a) D:\wwwroot\test\data\ 文件夾給用戶ASPNET以 如下權限：
允許 拒絕
完全控制 &n bsp; □ & nbsp;□
修改 &nbs p; &nbs p;√ □
讀取及運行 & nbsp; √ □ ;
列出文件夾目錄 ; √ □
讀取 &nbs p; &nbs p;√ □
寫入 &nbs p; &nbs p;√ □

b) D:\wwwroot\test\data\db1.mdb 文件本身給用戶ASPNET以如下權限：
√ 允許將來自父系的可繼承權限傳播給該 對象



1.5 附帶着，實驗另一種情形：我們把 db1.mdb 在 Acce ss 打開編輯，同時訪問 ASP.NET。

(a) 如果 db1.mdb 是 Access 2000 創 建的數據庫，我們發現並沒有出現什麼問題。


(b) 如果 db1.mdb 是 Access XP 創建的 數據庫，出現如下錯誤：

"/zhao"應用程序中的服務器錯誤。
------------------------------------------------
不能使用 ；文件已在使用中。
說明: 執行當前 Web 請求期間，出現未處理的異常。請檢查堆棧跟蹤信息，以瞭解有關該錯誤 以及代碼中導致錯誤的出處的詳細信息。
異常詳細信息: System.Data.OleDb.OleDbException: 不能使用&nbs p;；文件已在使用中。


(c) 原因初步分析：Access 數據庫是單用戶單線程的數據庫，我們在 Access&n bsp;裏面打開編輯數據庫文件時其實是以當前 Windows 用戶(比如Administrator) 身份打開數據庫，而 ASP.NET 默認使用的是 ASPNET 虛擬用戶（隸屬於 Users 組），級別低於 Administrator，無法和 Adminis trator "搶奪"權限，所以出現衝突錯誤。至於 Access 2000 忽略 這個問題的情形我們也不必做討論了，可能是 Access 2000 沒有考慮那麼多因素吧。& nbsp;


1.6 再附帶一種情形：將 db1.mdb 的屬性改爲"只讀"，無論是&nbs p;Access 2000 還是 Access XP 都將分別出現與& nbsp;1.2 中各自的錯誤相同的錯誤提示。


(二)實驗結論


(1) 我們首先再次總結一下 Access 數據庫文件的 NTFS 權 限設置的緣起：

在 ASP.NET 中默認是以一個叫做 ASPNET& nbsp;的虛擬用戶的身份來訪問、操作數據庫的，你可以在"控制面板"-"管理工具"-"計算機管理"-"本地用戶和組"-" 用戶"中看到這個用戶，默認情況下是：

全名：ASP.NET 計算機帳戶&nb sp;
描述爲：用於運行 ASP.NET&nb sp;輔助進程(aspnet_wp.exe)的帳戶。
隸屬於：Users組。

使用這麼一個隸屬於 Users 組的用戶來進行文件操作、數據庫操 作的風險是要比用一個 Administrators 組的用戶的風險要小得多，這也是 ASP .NET 在安全方面的一個考慮吧。

既然是這麼一個用戶需要訪問、操作數據庫文件本身，那麼我們就需要給它一定的 NTFS 權限以允許它的訪問。顯然沒有 NTFS 的權限許可，ASPNET 就無 法訪問、操作數據庫，就會出現上面實驗中所看到的那些錯誤了。


(2) 經過上面的實驗，我們已經知道如下的 NTFS 權限設置是可以滿足一般需求的：&nb sp;

a) D:\wwwroot\test\data\ 文件夾給用戶ASPNET以 如下權限：
允許 拒絕
完全控制 &n bsp; □ & nbsp;□
修改 &nbs p; &nbs p;□ □
讀取及運行 & nbsp; √ □ ;
列出文件夾目錄 ; √ □
讀取 &nbs p; &nbs p;√ □
寫入 &nbs p; &nbs p;√ □

b) D:\wwwroot\test\data\db1.mdb 文件本身給用戶ASPNET以如下權限：
√ 允許將來自父系的可繼承權限傳播給該 對象


同時我們也注意到 db1.mdb 是否爲"只讀"文件對 ASPNET 的訪問也會 有一定影響。


(3) 上述權限設置可以直接設置給 ASPNET 用戶自己，也可以設置給 Use rs 組，或者直接給 Everyone 組上述權限都是可以的。因爲 ASPNET 隸屬於 Users 組，可以通過 用戶組 給 ASPNET 設置權限。


(4) NTFS 權限在文件或文件夾右擊後得到的"屬性"對話框-"安全"選項卡中設置，一般情況下，可 以考慮給 Adminitrators 組以"完全控制"的權限，同時不要輕易在"拒絕"中打勾，有關&n bsp;NTFS 權限設置的技巧，可以諮詢網絡管理員、網絡安全專家的建議。

注：FAT, FAT32 格式的分區中不支持 NTFS 權限。

(5) Windows 2000 系列，Windows Server 2003 系列的"安全"選項卡默認是很容易找到的，但 Windows XP Pr ofessional 中的"安全"選項卡默認是關閉的，可以將"控制面板"-"文件夾選項"-"查看"選項卡中的" 高級設置"中"使用簡單共享（推薦）"一項的"√"去除，"確定"之後，再次按照上面的方法即可看到"安全"選項卡了.