以文本方式查看主题 -  ╋艺 镇╋  (http://zyzsky.com/bbs/index.asp) --  ┣◇网站建设&Web语言  (http://zyzsky.com/bbs/list.asp?boardid=4) ----  如何跟踪上一个页面的文件名  (http://zyzsky.com/bbs/dispbbs.asp?boardid=4&id=3135)

--  作者：admin --  发布时间：2011/8/15 16:44:57 --  如何跟踪上一个页面的文件名 如果用户知道了一个ASP页面的路径和文件名，而这个文件又是要经过验证才能进去的，但是用户直接输入这个ASP页面的文件名，就有可能通过绕过验证.比如：我在一些网站上这样试过：首先关闭所有的浏览器，窗口，输入：  http://someurl/system_search.asp?page=1  　　就样就看到了只能系统员才能看到的页面。当然有些人为了防止这种情况也会在system_search.asp的开头加个判断，比如：判断session("system_name"),如果不为空时就能进入，这样上面的url请求就不能直接进入管理员页面了。但是这种方法也有一个漏洞，如果攻击者先用一个合法的帐号，或者在本机上生成一个session,如session("system_name")="admi"，那因为session("system_name")不为空，这样也能直接进入绕过密码，直接进入管理员页面。  　　解决方法：  　　在需要验证的ASP页面开头处进行相应的处理。比如：可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。  ------------ 如何追踪上一个页面的值在到下一页面来验证啊．谁有例子来说明下． - -------------------------------- 是Request.ServerVariables("HTTP_REFERER")，获取来源网页。 不推荐使用session