一个ASP.NET虚拟主机安全漏洞的解决方案.docxVIP

第 第 PAGE 1 页 一个ASP.NET虚拟主机安全漏洞的解决方案 　曾经很早就在网上看到一篇关于＜虚拟主机的重大隐患＞的文章，当时并不在意，做过asp虚拟主机的伴侣可能都知道，即对每一个用户都设置一个的服务器用户和单个名目的操作权限，能够基本上解决asp的fso问题。  在网上无意中发觉了一个叫做webadmin的webshell，对自己的服务器进行测试的时候，让我大吃一惊，竟然对我服务器的c盘有读取的权限。以及对整个硬盘的修改删除权限。这样的话，那么我的服务器的平安……  为了进一步证明，本人曾在国内一些有名的虚拟主机供应商上作过测试，均有和我一样的问题。  有必要先介绍一下漏洞的缘由。  ASP中常用的标准组件：FileSystemObject，这个组件为 ASP 供应了强大的文件系统访问力量，可以对服务器硬盘上的任何有权限的名目和文件进行读写、删除、改名等操作。FSO对象来自微软供应的脚本运行库scrrun.dll中。 在ASP.NET中我们发觉这一问题仍旧存在，并且变得更加难以解决。这是由于.NET中关于系统IO操作的功能变得更加强大，而使这一问题更严峻的是ASP.NET所具有的一项新功能，这就组件不需要象ASP那样必需要使用regsvr32来注册了，只需将Dll类库文件上传到bin名目下