ASP系统在互联网上广泛的应用，针对ASP系统的脚本攻击最近闹得是红红火火。黑客们的眼睛也都盯上了这类的系统，那么下面我就来讲讲怎样来防御基于WEB的各种攻击。
1.安装补丁
安装好操作系统之后，首先要做的就是要安装系统的各种补丁程序，配置好网络之后，如果是WIN 2000的操作系统就装上SP4，WIN 2003就安装好SP1，然后点击WINDOWS UPDATE，安装好所有关键的更新。
2.安装杀毒软件
杀毒软件我现在主要推荐使用两款：卡巴斯基和瑞星。这两款杀毒软件我做过N多测试，结果表明卡巴斯基的杀查能力要强过瑞星，很多做过免杀的木马过得了瑞星但是确逃不过卡巴斯基的法眼，当然卡巴斯基也不是百分百所有病毒都能查杀，一些木马程序也是能做出过卡巴斯基的免杀。只不过卡巴斯基在所有杀毒软件当中查杀能力还算是不错的。
3.设置端口的安全保护功能
端口保护的方式有两种，一种是TCP/IP筛选里面进行端口设置，另外一种系统自带的防火墙（我以WINDOWS 2003操作系统为准，现在大部分的网站都使用的是WINDOWS 2003操作系统。）
4.TCP/IP筛选的端口设置方式
在“网上邻居”上选右键点开“属性”，然后在“本地连接”上右键点开“属性”，选择“Internet协议（TCP/IP）”点“属性”，然后在弹出的“Internet协议（TCP/IP）属性”框里选择“高级”，然后在“高级TCP/IP设置”框里选择“选项”，然后选择“TCP/IP筛选”后点击“属性”，然后在弹出的“TCP/IP筛选”的框里勾上“启用TCP/IP筛选（所有适配器）”，选择只允许，然后点击添加你所需要开放的端口。
5.自带防火墙的端口设置
通过WINDOWS 2003操作系统自带的防火墙来进行端口设置比较灵活，不用重新启动服务器。开始设置，在“网上邻居”上选右键点开“属性”，然后在“本地连接”上右键点开“属性”，在弹出的框里选择“高级”，选择“Internet连接防火墙”点击设置，这样就会弹出“WINDOWS 防火墙”的框。选择“启用”，然后点“例外”，在这个里面可以选择“添加程序”和“添加端口”的方式来设置一些开放的端口。有一点需要特别注意，如果是远程连接服务器的，要注意远程虚拟终端的端口一定要开放。
6.目录的安全设置
包括系统盘在内的所有磁盘只给Administrators和SYSTEM的完全控制权限。
C:\Documents and Settings 目录只给Administrators和SYSTEM的完全控制权限。
C:\Documents and Settings\All Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限。
C: \Inetpub 目录及下面所有目录、文件只给 Administrators 组和 SYSTEM 的完全控制权限。
C:\Windows目录除了给Administrators和SYSTEM的完全控制权限之外，还需要给CREATOR OWNER用一个“特别的权限”，Power Users用户组除了完全控制之外的所有权限，Users用户组“读取和运行”，“列出文件夹目录”，“读取”的权限。
C:\Windows目录的这些权限设置是非常重要的，如果除了Administrators和SYSTEM的完全控制权限之外的那些权限没有设置，那么系统重启后，很多系统服务都不能正常使用。
C: \Windows\System32\cacls.exe、cmd.exe、net.exe，、net1.exe 文件只给 Administrators 组和 SYSTEM 的完全控制权限。
7.IIS控制帐号的权限分配
现在黑客的入侵技术当中，有一种技术叫网站旁注入侵，这种技术方式上面黑客入侵技术环节已经讲过了，是通过服务器里面一个有漏洞网站的来实施入侵，成功获取权限之后转而控制其它网站。那大家就想知道这个问题是由于什么原因导致的。
原来IIS对于远程的普通用户访问是设置了一个专用的“IUSR_机器名”的帐号。那么正因为IIS用“IUSR_机器名”的帐号来管理所有网站访问权限，因此黑客就可以用到这种旁注入侵技术了。那么怎么来解决这个问题？很简单，我给每个网站分别设置一个单独的IIS控制帐号，IIS控制帐号的权限设为GUESTS组就可以。这样即使黑客通过服务器的一个网站拿到权限，那他也只有这个网站的权限，服务器其它网站他都没有权限可以访问，黑客对服务器破坏的风险降低了，那么安全就相对提高了。
8.注入漏洞的修补以及上传文件类型的限制
这两个部分是各位网站程序员所必须关注的，黑客对网站实施入侵的过程中，80％会用到网站的注入点和上传漏洞来实施入侵。注入漏洞的修补可以使用网上一些现成的修补代码，如ASP通用防注入组件，防注入代码完美版等，但是我还是建议网站程序员稍微花点时间自己来写防注入代码，这样会比较安全可靠。
上传文件类型的限制这个写起来也不难，只允许用户上传你们网站所要用到的文件类型，限制好文件类型，特别不要让ASP，ASA等扩展名的文件上传上来，然后对文件的头文件进行一个检查，发现有ASP木马特征的就限制上传。当然，现在的黑客越来越聪明，ASP木马大部分都使用一句话木马，然后还会对代码进行各种各样的变形处理来逃过网站的限制以及杀毒软件的查杀。对于这些免杀技术的木马用ASP代码的方式很难防范，最好使用安全产品来进行防御。
9.SQL权限的安全设置
ASP+MSSQL是黑客最感兴趣的网站，通常黑客能很轻松的利用MSSQL的漏洞拿到系统权限，因此这一块是大家要加以重视。
首先系统安装的时候，尽量不要默认安装到c:\Program files目录里面，然后安装好之后要打好SQL数据库最新的补丁程序。然后数据库不要放在默认的位置，接下来就要看网站是否需要远程登录sql服务器，我建议能不用远程就不要用，如果必须使用的话，那建议大家可以把端口改成一个高端端口，这样黑客很难找到。
在做好安全安装的工作之后，就要把SA设置一个复杂的密码，然后把SQL里面的BUILTIN\Administrators用户组删除，这样是避免黑客以WINDOWS身份登录SQL。接着在企业管理器里面编辑SQL Server注册属性，选择使用“使用SQL Server身份验证”并勾选“总是提示输入登录名和密码”。
然后在增加用户的时候，只给public和db_owner权限。
添加用户
exec sp_addlogin 'abc'
使它变为当前数据库的合法用户
exec sp_grantdbaccess N'abc'
授予abc用户对数据库的db_owner权限
exec sp_addrolemember N'db_owner'， N'abc'
最后就要删除一些黑客常用到的调用SHELL，操作注册表，调用COM组件的权限。
打开查询分析器，输入：
- use master
- EXEC sp_dropextendedproc 'xp_cmdshell'
- EXEC sp_dropextendedproc 'Sp_OACreate'
- EXEC sp_dropextendedproc 'Sp_OADestroy'
- EXEC sp_dropextendedproc 'Sp_OAGetErrorInfo'
- EXEC sp_dropextendedproc 'Sp_OAGetProperty'
- EXEC sp_dropextendedproc 'Sp_OAMethod'
- EXEC sp_dropextendedproc 'Sp_OASetProperty'
- EXEC sp_dropextendedproc 'Sp_OAStop'
- EXEC sp_dropextendedproc 'Xp_regaddmultistring'
- EXEC sp_dropextendedproc 'Xp_regdeletekey'
- EXEC sp_dropextendedproc 'Xp_regdeletevalue'
- EXEC sp_dropextendedproc 'Xp_regenumvalues'
- EXEC sp_dropextendedproc 'Xp_regread'
- EXEC sp_dropextendedproc 'Xp_regremovemultistring'
- EXEC sp_dropextendedproc 'Xp_regwrite'
- drop procedure sp_makewebtask
点击菜单上“查询”里面的“执行”，这样就可以把这些会被黑客利用的权限删除掉。
黑客入侵ASP+Access或ASP+MSSQL网站的防御过程到这里就结束了，关于原理性的内容请阅读：黑客入侵ASP+Access或ASP+MSSQL网站的手法
