ASP内联密码？

Question

我不太熟悉黑客技术和安全漏洞，但我开始有点担心我们站点的安全性，它建立在运行IIS 7.5的ASP Classic之上

我们使用ASP内联身份验证。在ASP文件中，我设置了用户名和密码。我已经限制了对某个用户名的访问到一个特定的IP地址(员工使用的用户名)，而其他用户名使用的是手机短信接收到的确认密码。

1. 基于IP的安全吗？我听说过通过某些端口输入特定的IP地址，从而从那个特定的IP地址获得访问权。
2. ASP文件的内容能被黑并读取吗？
3. 生成SMS时，ASP脚本通过XMLHTTP打开一个链接'https://generate.sms-company-domain.com/?password=&acount=&message=Your确认密码是‘。有人能听到被调用的URL并且很容易获得短信密码吗？
4. 您能想到我们的登录方法有哪些漏洞吗？

谢谢!

Answer 1

如果URL以这种方式公开，任何人都可以通过一些工具(如fiddler )读取密码或信息，那么您的第三点看起来就是个问题。

为了保护您的站点免受黑客攻击，请确保您的站点使用了SQL注入技术，2)通过post方法提交的所有重要数据。3)需要处理跨站点脚本攻击，比如当有人加载页面时，它将一个加密值保存在cookie中，并在代码中读取该cookie值，这样我们就可以确认页面不是从其他地方调用的。