Asp Net网站安全
1：SQL 注入：
解决方案：
a. 这个问题主要是由于传入特殊字符引起的我们可以在对输入的用户名密码进入过滤特殊字符处理。
b. 使用存储过程通过传入参数的方法可解决此类问题（注意：在存储过程中不可使用拼接实现，不然和没用存储过和是一样的）。
2. XSS（跨站脚本攻击）：
解决方案：
a. 通过在 Page 指令或 配置节中设置 validateRequest="false" 禁用请求验证，然后我们对用户提交的数据进行 HtmlEncode，编码后的就不会出现这种问题了（ASP.NET 中编码方法：Server.HtmlEncode(string)）。
b. 第二种是过滤特殊字符，这种方法就不太提倡了，如果用户想输入小于号（<）也会被过滤掉
3.CSRF（跨站点请求伪造）：
解决方案：
修改信息时添加验证码或添加 Session 令牌（ASP.NET中已经提供一个自动防范的方法，就是用页面属性 ViewStateUserKey。在Page_Init方法中设置其值：this.ViewStateUserKey = Session.SessionID）。
4. 文件上传：
解决方案：
在用户登录时加入是否可上传文件的 Session 标志。其实 Fckeditor 已经写好了。直接把验证函数 CheckAuthentication() 中的注释段中CheckAuthentication()
return ( Session[ "IsAuthorized" ] != null && (bool)Session[ "IsAuthorized" ] == true );
注释去掉。在登录成功加入登录成功 JS 代码
Session[“IsAuthorized”] = true;
１：SQL 注入
引起原因：
其实现在很多网站中都存在这种问题。就是程序中直接进行SQL语句拼接。可能有些读者不太明白。下面通过一个登录时对用户验证来说明：
code:
验证时的sql语句: select * from where user='"+txtUsername.Text+"' and pwd='"+txtPwd.Text+"'
这是一段从数据库中查询用户，对用户名，密码验证。
看上去好象没有什么问题，但是实际这里面浅藏着问题，用户名：admin 密码： admin，
select * from where user='admin' and pwd='admin'
如果用户和密码正确就可通验证。如果我用户名：asdf' or 1=1 -- 密码：随意输入.
我们再来看语句：
select * from where user=‘asdf' or 1=1 -- and pwd=''
执行后看到什么？是不是所有记录，如果程序只是简单判断返回的条数，这种方法就可以通验证。
相关文档：
阴阳冕
从今天开始起，基督山将和大家一起进入ASP.net 诸多程序的学习中，老实说，.net到底是法宝还是垃圾，我们拭目以待。有任何问题，联络基督山 seaman@163.com
什么是ASP.net，ASP.net的安装
1.1 什么是ASP.net
ASP.net 是一种建立在通用语言上的程序构架，能被用于一台Web服务器来建立强大的Web应用� ......
常用的脚本语言有 Javascript 和 VBscript 。
使用哪种语言需先设定。如上节代码中的<%@ LANGUAGE="JSCRIPT" ... %>。
如果没有指定，系统就会使用 IIS 程序指定的脚本语言。
VBscript 用法
VBscript 一般放在 <head> 与 </head> 内的 <% 和 %> 之间。
代 ......
VBSCRIPT 的数据类型
VBSCRIPT 只有一种数据类型：variant ，程序根据上下文来判断 variant 为数字类型还是字符串类型。
引号内的数字被看成字符串，如：a="12" ；
不带引号当然就是数字，如：b=13 。
实例：
以下为引用内容：
<%@LANGUAGE="VBSCRIPT" CODEPAGE="65001"%>
<!DOCTYPE html PUBLIC "-//W3C// ......
Javascript 基本结构和语法
与VBScript相同，也是写在 <% %> 之间。
用 var 声明变量，语句的末尾用“;”隔开。
以下为引用内容：
<%@LANGUAGE="JSCRIPT" CODEPAGE="65001"%>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml ......
ASP程序的特点
编写ASP程序由 Javascript 或 VBscript 结合 HTML 代码来实现。
常用编写工具有记事本，Frontpage 和 Dreamweaver 。
ASP 代码不会被传输到客户端的浏览器上，这有助于保护源代码，以免泄漏。
ASP标记的用法
方式1：将脚本语言编入<% %> 中，可以和 HTML 语言混合使用。
......
