关于同一数据库文件的.asp和.mdb区别 [复制链接]

piaopiao2010　楼主

银牌会员

帖子: 464
体力: 1183
威望: 0

发表于 2006-7-6 18:04:00 |显示全部楼层

我在好多这样的源代码中发现mdb的数据库

都改成.asp 文件

我虽然能改过来,从而发现我要的东西,但有点我不是太理解

那就是.asp的数据库文件它还能存储数据吗,为什么?

西部数码顶级域名注册商39元抢注！

使用道具举报

hanguofeng　

小韩

荣誉管理 

帖子: 3891
体力: 8324
威望: 12

发表于 2006-7-6 18:33:00 |显示全部楼层

没有区别，仅为了防止文件被恶意下载。

由于Access数据库数据文件是以实体文件的形式存在在服务器上的，并且在大多数情况下和站点在同一文件夹下，这样一旦入侵者通过“暴库”等方式(后面会提到)得知站点数据库的地址，而数据库文件又没有做相应处理，则数据库文件可能被入侵者下载，导致站点系统管理密码等敏感信息被盗取。
对于防止数据库文件被恶意下载，有如下建议：
在数据库中加入一个单独的表，为此表建立一个OLE对象类型的字段，并将一个含有错误asp语句(如：<%respse.write("")%>)的文件插入此表中，并将数据库文件的扩展名修改为ASP，这样，由于数据库中防止下载的表中的信息被当作ASP代码处理，而此代码又存在错误，则服务器会提示错误而不会将数据库文件传送给浏览器。

租服务器，上51IDC [长沙]招聘:PHP经理10K/WEB前端6K/PHP开发6K

使用道具举报

liaoyizhi520　

智者千虑

银牌会员 

帖子: 793
体力: 4082
威望: 0
居住地: 广西壮族自治区桂林市

发表于 2006-7-6 19:10:00 |显示全部楼层

只是相对安全``其实知道路径的话，用下载软件（如迅雷登）同样能下载下来``

个人感觉将数据库放在站点根目录之外，用绝对路径连接比较好``

现在很多的服务器都支持吧`

智者千虑's BLOG

使用道具举报

legend2　

初级会员

帖子: 56
体力: 357
威望: 0

发表于 2006-7-6 22:23:00 |显示全部楼层

只是一个不能被下载，而另一个可以被下载~

高考高考……

使用道具举报

m173　

传说里的哥

钻石会员 

帖子: 7610
体力: 9983
威望: 0
居住地: 广东省珠海市

发表于 2006-7-6 22:37:00 |显示全部楼层

如果知道ＡＳＰ的路径的话...ASP的会更危险.........
目前３楼的方法比校安全吧！

装Ｂ的感觉真好

使用道具举报

hanguofeng　

小韩

荣誉管理 

帖子: 3891
体力: 8324
威望: 12

发表于 2006-7-7 00:32:00 |显示全部楼层

我是搞安全的，对楼上的一些问题做一个总结性问题

插入特殊ASP代码的asp扩展名的mdb文件是不能够被下载的，原因是其ASCII码文件中包含了不正确的ASP代码，在服务器上asp.dll文件尝试解析时出现错误，会返回HTTP500而不会返回数据库文件的文本内容。

5楼m173提出的更危险，其含义是如果通过插入含有asp代码的数据记录，则此代码可能在访问扩展名为asp的数据库文件时被解析，不过假如我们的文件中本身有不能正常解析的asp代码，则那些插入的危险代码不会被执行。

使用道具举报