王继红

黑龙江信息技术职业学院，黑龙江 哈尔滨 150025

0 引言

随着Internet的发展，Web技术日新月异。ASP(Active Server Pages)作为一种典型的、成熟的服务器端网页设计技术，被广泛地应用在企业网站、网上商城等各种互联网应用中。同时Access数据库作为微软推出的以标准JET为引擎的桌面型数据库系统，由于具有界面友好、操作简单等特点，具有大量的用户群体。因此，ASP＋Access成为很多中小型网上应用系统的首选方案。但ASP＋Access解决方案在为我们带来便利的同时，也带来了很多不容忽视的安全问题。

1 Access数据库的漏洞及安全防范

1.1 漏洞分析

在ASP＋Access应用系统中，攻击者会根据经验获得或者猜到Access数据库的存储路径和数据库名，则该数据库就可以被下载到本地。例如：对于一些网上商城系统的Access数据库，设计者一般命名为shop.mdb、store.mdb等，而存储的路径一般为“URL/data/”或干脆放在根目录（“URL/”）下。这样，只要在浏览器地址栏中敲入地址：“URL/data/store.mdb”，就可以轻易地把shop.mdb下载到本地的机器中。因为Access加密串存储在＊.mdb文件中从地址“＆H42”开始的区域内。通过解密程序可以轻松地得到Access数据库的密码。因此无论即使设置了数据库密码，只要数据库被下载，其信息就没有任何安全性可言了。所以如何有效地防止Access数据库被下载,就成了提高ASP＋Access系统安全性的重中之重。

1.2 防范措施

1）非常规命名法：防止数据库被找到的简便方法是为Access数据库文件起一个非常规的复杂的名字，并把它存放在多层目录下。例如，对于网上商城的数据库文件，起个非常规的名字，例如：mhr4v53h.mdb，再把它放在如：/atncj16t/kgyb61/ahjx5rv 之类的深层目录下。……