asp攻击之编写程序时的防范
挂马事件、黑站事件层出不穷。网站安全，成了站长们最为揪心的事情。在服务器的安全设置正确的情况下，大抵可以认为是asp程序本身存在一些安全漏洞为挂马、黑站等提供了可能。
个人站长的程序来源，主要有两个途径。一是自己写或请人写程序；二是从网上下载免费程序或购买共享程序。前者安全性稍微好些，后者由于是共享原码，那么攻击者可以直接直观地分析你的代码来寻找漏洞和攻击点。然而，无论是第一种情况还是第二中情况，都需要在安全细节上下功夫，在编写程序的时候就多注意一点。
1、用户名与口令被特别(合法性请自查)
攻击原理：用户名与口令，往往是黑客们最感兴趣的东西，如果被通过某种方式看到源代码，后果是严重的。
防范技巧：涉及用户名与口令的程序最好封装在服务器端，尽量少在asp文件里出现，涉及与数据库连接的用户名与口令应给予最小的权限。出现次数多的用户名与口令可以写在一个位置比较隐蔽的包含文件中。如果涉及与数据库连接，在理想状态下只给它以执行存储过程的权限，千万不要直接给予该用户修改、插入、删除记录的权限。
2、验证被绕过
攻击原理：现在需要经过验证的asp程序大多是在页面头部加一个判断语句，但这还不够，有可能被黑客绕过验证直接进入。
防范技巧：需要经过验证的asp页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。
3、inc文件泄露问题
攻击原理：当存在asp的主页正在制作且没有进行最后调试完成以前，可以被某些搜索引擎机动追加为搜索对象。如果这时候有人利用搜索引擎对这些网页进行查找，会得到有关文件的定位，并能在浏览器中查看到数据库地点和结构的细节，并以此揭示完整的源代码。
防范技巧：程序员应该在网页发布前对它进行彻底的调试;安全专家则需要加固asp文件以便外部的用户不能看到它们。首先对.inc文件内容进行加密，其次也可以使用.asp文件代替.inc文件使用户无法从浏览器直接观看文件的源代码。inc文件的文件名不要使用系统默认的或者有特殊含义容易被用户猜测到的名称，尽量使用无规则的英文字母。
