网站从GB2312编码到UTF-8编码

　　近来，网络上的SQL Injection 漏洞利用攻击，JS脚本，HTML脚本攻击似乎逾演逾烈.陆续的很多站点都被此类攻击所困扰，并非像主机漏洞那样可以当即修复，来自于WEB的攻击方式使我们在防范或者是修复上都带来了很大的不便。HOOO…… 一个站长最大的痛苦莫过于此.自己的密码如何如何强壮却始终被攻击者得到，但如何才能做到真正意义上的安全呢？第一，别把密码和你的生活联系起来；第二，Supermaster的PWD最好只有你自己知道；第三，绝对要完善好你的网站程序。然而怎样才能完善，这将是我们此文的最终目的。

　　安全防护，如何做到安全防护？想要防护就要知道对方是如何进行攻击。有很多文章都在写如何攻下某站点，其实其攻击的途径也不过是以下几种：

　　1. 简单的脚本攻击

　　此类攻击应该属于无聊捣乱吧。比如****:alert(); ＜/table＞等等，由于程序上过滤的不严密，使攻击者既得不到什么可用的，但又使的他可以进行捣乱的目的。以目前很多站点的免费服务，或者是自身站点的程序上也是有过滤不严密的问题。

　　2. 危险的脚本攻击

　　这类脚本攻击已经过度到可以窃取管理员或者是其他用户信息的程度上了。比如大家都知道的cookies窃取，利用脚本对客户端进行本地的写操作等等。

　　3. Sql Injection 漏洞攻击

　　可以说，这个攻击方式是从动网论坛和BBSXP开始的。利用SQL特殊字符过滤的不严密，而对数据库进行跨表查询的攻击。比如：

　　http://127.0.0.1/forum/showuser.asp?id=999 and 1=1

　　http://127.0.0.1/forum/showuser.asp?id=999 and 1=2

　　http://127.0.0.1/forum/showuser.asp?id=999 and 0＜＞(select count(*) from admin)

　　http://127.0.0.1/forum/showuser.asp?id=999’; declare @a sysname set @a='xp_'+ 'cmdshell' exec @a 'dir c:'---&aid=9

　　得到了管理员的密码也就意味着已经控制的整站，虽然不一定能得到主机的权限，但也为这一步做了很大的铺垫。类似的SQL Injection攻击的方式方法很多，对不同的文件过滤不严密所采取的查询方式也不同。所以说想做好一个完整的字符过滤程序不下一凡功夫是不可能的。

　　4. 远程注入攻击

　　某站点的所谓的过滤只是在提交表格页上进行简单的JS过滤。对于一般的用户来说，你大可不必防范；对早有预谋的攻击者来说，这样的过滤似乎根本没作用。我们常说的POST攻击就是其中一例。通过远程提交非法的信息以达到攻击目的。

　　通过上面的攻击方法的介绍，我们大致的了解了攻击者的攻击途径，下面我们就开始重点的介绍，如何有效的防范脚本攻击！

　　让我们还是从最简单的开始：

　　l 防范脚本攻击

　　JS脚本 和HTML脚本攻击的防范其实很简单：server.HTMLEncode（Str）完事。当然你还不要大叫，怎么可能？你让我把全站类似＜%=uid%＞都加过滤我还不累死？为了方便的过滤，我们只需要将HTML脚本和JS脚本中的几个关键字符过滤掉就可以了：程序体（1）如下：

　　‘以下是过滤函数

　　＜%

　　function CHK(fqyString)

　　fqyString = replace(fqyString, "＞", "＞")

　　fqyString = replace(fqyString, "＜", "＜")

　　fqyString = replace(fqyString, "&#", "&")

　　fqyString = Replace(fqyString, CHR(32), " ")

　　fqyString = Replace(fqyString, CHR(9), " ")

　　fqyString = Replace(fqyString, CHR(34), """)

　　首先，为了使大家能边看下面的介绍边上机操作，您需要在Windows 95或Windows NT上作如下准备工作。 

　　1．建立ACCESS数据库，c:my documentsmydata.mdb。 

　　2．在mydata数据库中建表mytable(a dblong,b dbtext,c dblong)，并添加适量的试验数据。 

　　3．建立系统DSN（database source name），在控制面板的ODBC中进行设置，取数据源名为ACCESSMDB，并指向刚建的mydata数据库。 

　　4．安装PWS（Personal Web Server），它位于Windows 98光盘的addonspws目录中。 

　　5．用frontpage在PWS上新建一Web，如http://yourhostname/myweb，在缺省情况下，yourhostname是您的主机名称。 

　　6．用frontpage软件打开新建的myweb，并新建一子目录scripts，然后将scripts设置为可执行的子目录。 

　　至此，如果您的设置正确，那么就可打开Internet Explorer（以下简称IE），并在地址栏中键入http://yourhostname/myweb/scripts后就会看到如下提示： 

　　Directory Listing Denied 

　　This Virtual Directory does not allow contents to be listed 

　　这是因为该目录既无缺省的html文件（一般为default.htm），又不允许列出目录，但这已说明您的pws设置正确。下面来介绍第一种制作方法。 

　　一．用Frontpage Database Region Wizard向导完成设置 

　　·打开Frontpage，进入已经建好的Web即myweb中，新建一页面newpage1，并编辑它。 

　　·单击菜单栏中的“insert”，并选择“database”、“database region wizard”，这时会弹出一个对话框。 

　　·在“odbc data source name”下的输入栏中，输入已建好的DSN，即Accessmdb，然后点击Next按钮进入下一步。 

　　·在“Enter the sql string for the query”下的输入栏中输入select a,b,c from mytable，然后点击Next按钮进入一下步。 

　　·点击Add按钮，在“enter the name of a query field to be added to the list”下的输入栏中输入字段名a，然后点击Ok按钮。 

　　·重复上一步，将字段b和c都添加到查询列表中。 

　　·点击Finish按钮。 

　　·此时系统会提示您将该页面保存在可执行的目录中，并将扩展名改为*.asp，按照提示将newpage1.htm移动到scripts目录中，将newpage1.htm重命名为newpage1.asp。 

　　在IE地址栏中输入http://youhostname/myweb/scripts/newpage1.asp，按回车后就会看到数据库中的实验数据被显示了出来。 

　　此种方法操作简单，但不灵活，生成的html文件可读性差，不容易添加二次链接。