知识大全改mdb为asp就能防Access数据库下载是鬼话

Posted 2022-07-16 数据库

篇首语：人生何适不艰难，赖是胸中万斛宽。本文由小常识网(cha138.com)小编为大家整理，主要介绍了知识大全改mdb为asp就能防Access数据库下载是鬼话相关的知识，希望对你有一定的参考价值。

改mdb为asp就能防Access数据库下载是鬼话 以下文字资料是由(全榜网网www.cha138.com)小编为大家搜集整理后发布的内容，让我们赶快一起来看一下吧！

许多程序员在开发的时候都认为改了mdb后缀为asp就能防下载的概念是错的！后台数据库被下载对于一个 asp+a ccess的网站来说无疑是一场惨绝人寰的灾难今天找了各方的文章归纳一下有以下种办法防止数据库被下载

发挥你的想象力修改数据库文件名不用说这是最最偷懒的方法但是若攻击者通过第三方途径获得了数据库的路径）就玩完了比如说攻击者本来只能拿到list权结果意外看到了数据库路径就可以冠冕堂皇地把数据库下载回去研究了另外数据文件通常大小都比较大起再隐蔽的文件名都瞒不了人故保密性为最低数据库名后缀改为ASA ASP等此法须配合一些要进行一些设置否则就会出现本文开头的那种情况（）二进制字段添加（）在这个文件中加入<%或%> IIS就会按ASP语法来解析然后就会报告错误自然不能下载了可是如果只是简单的在数据库的文本或者备注字段加入<%是没用的因为ACCESS会对其中的内容进行处理在数据库里他会以 < %的形式存在无效！正确的方法是将 <%存入OLE对象字段里这样我们的目的就能达到了操作方法首先用notepad新建一个内容为 <% 的文本文件随便起个名字存档接着用Access打开您的数据库文件新建一个表随便起个名字在表中添加一个OLE对象的字段然后添加一个记录插入之前建立的文本文件如果操作正确的话应该可以看到一个新的名为数据包的记录数据库名前加 # 只需要把数据库文件前名加上# 然后修改数据库连接文件（如conn asp）中的数据库地址原理是下载的时候只能识别& nbsp #号前名的部分对于后面的自动去掉比如你要下载 // pcdigest /date/# mdb（假设存在的话）无论是 IE还是FLASHGET等下到的都是// test /dat e/index （index asp default jsp等你在IIS设置的首页文档）另外在数据库文件名中保留一些空格也起到类似作用由于HTTP协议对地址解析的特殊性空格会被编码为 % 如 :// test /date/ mdb 下载的时 // test /date/ % mdb 而我们的目录就根本没有 % mdb这个文件所以下载也是无效的这样的修改后即使你暴露了数据库地址一般情况下别人也是无法下载！加密数据库首先在选取工具 > 安全 >加密/解密数据库选取数据库（如 employer mdb）然后接确定接著会出现数据库加密后另存为的窗口存为 employer mdb 接着employer mdb就会被编码然后存为 employer mdb……要注意的是以上的动作并不是对数据库设置密码而只是对数据库文件加以编码目的是为了防止他人使用别的工具来查看数据库文件的内容接下来我们为数据库加密首先以打开经过编码了的 e mployer mdb 在打开时选择独占方式然后选取功能表的工具 >安全 >设置数据库密码接着输入密码即可这样即使他人得到了employer mdb文件没有密码他是无法看到 emplo yer mdb 的加密后要修改数据库连接页如 conn open driver= microsoft access driver&nb sp （* mdb） uid=admin pwd=数据库密码 dbq=数据库路径这样修改后数据库即使被人下载了别人也无法打开（前提是你的数据库连接页中的密码没有被泄露）但值得注意的是由于 Access数据库的加密机制比较简单即使设置了密码解密也很容易该数据库系统通过将用户输入的密码与某一固定密钥进行异或来形成一个加密串并将其存储在* mdb文件从地址 &H 开始的区域内所以一个好的程序员可以轻松制作一个几十行的小程序就可以轻松地获得任何 Access数据库的密码因此只要数据库被下载其信息安全依然是个未知数数据库放在WEB目录外或将数据库连接文件放到其他虚拟目录下如你的WEB目录是e \\webroot 可以把数据库放到e \\data这个文件夹里在 e \\webroot里的数据库连接页中修改数据库连接地址为 ……/data/数据库名的形式这样数据库可以正常调用但是无法下载的因为它不在WEB目录里！这个方法一般也不适合购买虚拟空间的用户使用ODBC数据源在ASP等程序设计中如果有条件应尽量使用ODBC数据源不要把数据库名写在程序中否则数据库名将随ASP源代码的失密而一同失密例如 DBPath = Server MapPath（ ……/ / abc/asfadf mdb ） conn open driver =Microsoft Access Driver&nb sp （* mdb） dbq= & DBPath可见即使数据库名字起得再怪异隐藏的目录再深 ASP源代码失密后也很容易被下载下来如果使用ODBC数据源就不会存在这样的问题了 conn open ODBC DSN名不过这样是比较烦的目录移动的话又要重新设置数据源了更方便的方法请看第法！添加数据库名的如MDB的扩展映射这个方法就是通过修改IIS设置来实现适合有IIS控制权的朋友不适合购买虚拟主机用户（除非管理员已经设置了）这个方法我认为是目前最好的只要修改一处整个站点的数据库都可以防止被下载无须修改代码即使暴露目标地址也可以防止下载 &n bsp 我们在IIS属性 ——主目录——配置——映射——应用程序扩展那里添加 mdb文件的应用解析注意这里的选择的D LL（或EXE等）似乎也不是任意的选择不当这个MDB文件还是可以被下载的注意最好不要选择选择asp dll等你可以自己多测试下这样修改后下载数据库如 // test /data/dvbbs mdb 就出现（或等错误）使用 net的优越性动网的木鸟就写过一个防非法下载文件的 WBAL 防盗链工具具体可以登陆// seek /WBAL/ 不过那个只实现了防止非本地下载的没有起到真正的防下载数据库的功能不过这个方法已经跟法差不多可以通过修改 NET文件实现本地也不能下载！这几个方法中只有第和个是统一性改的一次修改配置后整个站点的数据库都可以防止下载其他几个就要分别修改数据库名和连接文件比较麻烦不过对于虚拟主机的朋友也只能这样了！其实第个方法应该是第个方法的扩展可以实现特殊的功能但对于不支持 net的主机或者怕设置麻烦的话还是直接用第个方法了而且默认情况下第个方法依然可以通过复制连接到同主机的论坛或留言本发表然后就可以点击下载了（因为这样的引用页是来自同主机的）

cha138/Article/program/SQL/201311/16414

知识大全 改mdb为asp就能防Access数据库下载是鬼话

知识大全改mdb为asp就能防Access数据库下载是鬼话