内容提要：出处： 天极网 问题:无法上传较大的文件“Request 对象 错误 ''ASP 0104 : 80004005''”或者上传成功后，找不到文件名 更改Win 2003的IIS 6.0对asp的上传文件大小为200k限制，aspx的上传程序没有影响。在IIS …… |
server.URLEncode(Request.Cookies("userName"))
Response.Redirect(strRedirectUrl)
Else %＞
＜HTML＞
＜HEAD＞
＜META http-equiv="Content-Type"content="text/html; charset=ISO-8859-1"＞
＜TITLE＞MyNiceSite.com Home Page＜/TITLE＞
＜/HEAD＞
＜script LANGUAGE="javascript"＞
＜!--
function checkForm() {
document.forms[0].userName.value =
RemoveBad(document.forms[0].userName.value);
return true;
}
//******************************************************
//Programmer: NOT ORIGINAL CODE - COMES FROM MICROSOFT
//Code Source: Microsoft Knowledge Base Article Q25z985
//Description: Removes bad characters.
//******************************************************
function RemoveBad(strTemp) {
strTemp =strTemp.replace(/\＜/\＞/"/''/%/\;/\(/\)/\&/\+/\-/g, "");
return strTemp;
}
//--＞
＜/SCRIPT＞
＜BODY＞
＜BR＞
＜H2＞MyNiceSite.com＜/H2＞
＜BR＞
＜FORM method="post"action="page2.asp" onsubmit="return checkForm();"＞
Enter your MyNiceSite.com username:
＜INPUT type="text"name="userName" width="10" maxwidth="10"＞
＜INPUT type="submit"name="submit" value="submit"＞
＜/FORM＞
＜/BODY＞
＜/HTML＞
＜% end if %＞
Page2.asp中加如：
＜%@ Language=VBScript %＞
＜% Dim strUserName
If Request.QueryString("userName")＜＞"" Then
strUserName =server.HTMLEncode(Request.QueryString("userName"))
Else
Response.Cookies("userName") =Request.Form("userName")
strUserName = server.HTMLEncode(Request.Form("userName"))
End If %＞
＜HTML＞
＜HEAD＞
＜META http-equiv="Content-Type" content="text/html;charset=ISO-8859-1"＞
＜/HEAD＞
＜BODY＞
＜H3 align="center"＞Hello: ＜%= strUserName %＞＜/H3＞
＜/BODY＞
＜/HTML＞
现在由于这种攻击遭到有效的防制。那于那些恶意的标签和Script被编码，他们就被以文字的形式显现了出来，如下图：
我们也可增加一个IIS组件用于过滤所有从动态输入中的特殊字符。对于那些已经做好的网站，采用这种办法来防止跨站script的攻击来得非常容易。我们的这个控件能拦截来自ASP页面的REQUEST目标，可对表格，cookie,请求字串和程序的内容进行检测：
我们也可以通过编写log文件的方法把统计数据加入这个组件中。每当一个客户输入一个非法字符时，这个组件会记下它的IP地址和时间。详情请见Doug Dean的＜＜Roll your Own IIS Application on ASPToday＞＞一文。
我们只需采取一些简单的步聚就能有效地阻止跨站script的攻击。除了以上所说的三种方法外，微软和CERT还强烈推荐使用一种他们称之为“sanity check”的方法。例如，假设有个输入窗口只允许输入数字，我们就给它做个限定，只允许0-9