Sikkerhed og ASP

Er der nogen, der kan nogle links til grundregler for hacker-sikret programmering (ASP/MS Access), sikkerhedsopsætninger m.m.

Jeg skal lave en site i et skolemiljø. IIS-serveren er XP2003, men hvordan kan jeg ellers sikre mig, at hackere ikke kan hacke databasen og/eller ASP-koden?

mvh
PC-Gram

Du kunne jo, sætte en adgangskode på din ms access db, og som martin siger kan du ligge db'en i en mappe som du giver et navn man aldrig gætter fx, noget underlig tekst som ikke giver nogen mening, eller encode en eller anden tekst i md5 og give mappen det navn... ASP koden kan man, såvidt jeg ved ikke hacke...

Hilsen
Jan S.

ASP koden kan man, såvidt jeg ved ikke hacke...

Hilsen
Jan S.

Så vidt jeg ved er den eneste mulighed man har for at få direkte adgang til ASP koden er via ftp, så du skal sørge for at der er adgangskontrol, når man skal ind via ftp.

//Emilbp

Er der nogen, der kan nogle links til grundregler for hacker-sikret programmering (ASP/MS Access), sikkerhedsopsætninger m.m.

Jeg skal lave en site i et skolemiljø. IIS-serveren er XP2003, men hvordan kan jeg ellers sikre mig, at hackere ikke kan hacke databasen og/eller ASP-koden?


mvh
PC-Gram

Når du foreksempel laver noget ala:
"Update tabel SET kolonne1 = '" & Request.From("k1") & "', kolonne2 = '" & Request.From("k2") & "' WHERE Id = 2"
Så er det vigtigt at du laver et ' til to 'er
f.eks. replace(Request.From("k2"), "'", "''")
ellers vil han kunne manipulere det

Hilsen Mathias

Er der nogen, der kan nogle links til grundregler for hacker-sikret programmering (ASP/MS Access), sikkerhedsopsætninger m.m.

Jeg skal lave en site i et skolemiljø. IIS-serveren er XP2003, men hvordan kan jeg ellers sikre mig, at hackere ikke kan hacke databasen og/eller ASP-koden?


mvh
PC-Gram

Puha ja skifte til php/mysql :p Ej jeg vil sikre mig at fik placeret access databasen i en speerat mappe som man ikke kan hente fra, da access er en fil kan man jo prøve sig frem til en mulig sti til databasen og derved hente den via browseren.

Slot\\\\ - All your base are belong to us
http://www.sigsys.dk

tror nu ikke sql injection har det vilde med sikkerhed og IIS på windows xp at gøre...

Men som der er omtalt så er din ASP kode sikret gennem IIS serveren.. den kan ikke hentes med mindre det er gennem ftp og ikke http..

og smid dine databaser i mapper uden for inetpub/wwwroot/... det er den eneste sikkerhedsregel du skal bekymre dig om som privat hoster.. Man skal som regel kun bekymre sig om, om man har noget hackerne vil have.... og det har man sjældent..

Nu skal jeg ikke udtale mig hvis du er ved at udvikle et eller andet top secret.. men jeg har aldrig haft nogle problemer med hackere gennem port 80 og IIS, men jeg har også kun haft bullshit til at ligge.. som proto udgaver af forskellige designs osv..

Men hvis der er et bestem emne du ønsker at vide mere om så sig til, men IIS ordner "sikkerheden" for dig... den er nok ikke 100% men har du brug for det ?

Med venlig hilsen
/Jokke Jensen
www.jj-multimediedesign.dk

[Redigeret d. 25/03-05 22:36:48 af Jokke Jensen]

tror nu ikke sql injection har det vilde med sikkerhed og IIS på windows xp at gøre...

Men som der er omtalt så er din ASP kode sikret gennem IIS serveren.. den kan ikke hentes med mindre det er gennem ftp og ikke http..

og smid dine databaser i mapper uden for inetpub/wwwroot/... det er den eneste sikkerhedsregel du skal bekymre dig om som privat hoster.. Man skal som regel kun bekymre sig om, om man har noget hackerne vil have.... og det har man sjældent..

Nu skal jeg ikke udtale mig hvis du er ved at udvikle et eller andet top secret.. men jeg har aldrig haft nogle problemer med hackere gennem port 80 og IIS, men jeg har også kun haft bullshit til at ligge.. som proto udgaver af forskellige designs osv..

Men hvis der er et bestem emne du ønsker at vide mere om så sig til, men IIS ordner "sikkerheden" for dig... den er nok ikke 100% men har du brug for det ?

Med venlig hilsen
/Jokke Jensen
www.jj-multimediedesign.dk

[Redigeret d. 25/03-05 22:36:48 af Jokke Jensen]

Du har ret Jokke, man skal selvfølgelig også se på attraktionsværdien af de data. In casu skal jeg lave et system, hvor lærere på en skole skal rapportere fravær og forsildemøde ind via en hjemmeside, så netop her kunne jeg godt tænke mig at en elev, der skulker for meget kunne tænke sig at hacke sit opmøde på plads.
Jeg vil placere DBen langt uden for inetpub og så sikre mig at logonproceduren er rimelig vandtæt, herunder at sessionen brænder rimeligt hurtigt ud.


mvh
PC-Gram