ASP中FSO对象对IIS WEB服务器数据安全的威胁及对策

脚本中的 `Scripting.FileSystemObject` 对象是一个强大的工具，由 `scrrun.dll` 提供，为 VBScript 和 JScript 开发者控制文件系统和目录提供了众多便利的功能。这一对象对于 IIS Web 服务器数据安全而言，是一把双刃剑。尽管它极大地简化了文本文件和目录的访问，但同时也为潜在的安全威胁敞开了大门。

`FileFinder` 脚本的代码构造相当简洁，仅由三个函数和大约三十行代码构成。其核心功能集中在 `findFiles` 函数上，这是一个递归函数，能够遍历某个目录并搜索具有特定文件扩展名的文件。

让我们深入了解一下 `findFiles` 函数的工作原理：

函数首先检查文件系统权限，如果系统管理员对文件系统的权限进行了细致的设置，那么该函数可能会遇到错误。但出于简单性考虑，这些错误被忽略。

函数进入一个指定的文件夹，获取其所有文件列表，并对每个文件检查其扩展名是否匹配指定的 `strext` 参数。如果匹配，它将输出一个链接，点击该链接可以读取文件的文本内容。

函数还会递归地遍历该文件夹下的所有子文件夹，并同样执行上述操作。每次找到一个匹配的文件时，计数器 `n` 就会递增。函数返回找到的文件的总数。

另一个重要的部分是脚本对命令 `cmd` 的处理逻辑。这部分代码接收来自 URL 参数的各种命令并执行相应的操作。其中，“find”命令会调用 `findFiles` 函数并显示找到的文件数量，“read”命令会读取并显示指定文件的文本内容。如果没有指定命令或命令无效，脚本会提示用户指定一个命令来执行。

如果攻击者或恶意用户有足够的权限，他们可以利用 `FileFinder` 脚本在 IIS Web 服务器上查找任意文本文件，并轻松查看其内容。这为潜在的安全风险敞开了大门。对于 Web 服务器管理员而言，确保对 `Scripting.FileSystemObject` 的访问进行适当的权限控制和安全配置至关重要。在数字世界中，高级黑客们有时会依赖一种能力——确定非文本文件的存在及其路径。这对于他们来说，如同探囊取物。但这种能力，基于一个前提，那就是执行ff.asp的用户需拥有读取目录和文件的权限。

当我们看向Windows NT Server，它的默认安全设置允许所有用户“读取”目录和文件。无论是IIS默认的“iusr_servername”用户，还是其他任何用户，都能轻易地获取目录和文件的信息。多数Windows NT Server的系统管理员在关注系统运行的稳定性的往往不愿轻易更改默认的目录和文件权限。毕竟，这样的改动伴随着一定的风险，并且需要丰富的实践经验。

在这样的情况下，有一个工具名为filefinder，它可以用来检测NT Server作为Web服务器的文件系统安全设置是否足够安全。作者曾尝试对IIS Web服务器的文件系统权限进行人工设置，但由于经验不足，引发了一系列的问题。比如他所测试的NT Server 4.0无法连接AESS数据库，而在更改文件系统权限之前，这一切都是正常运行。

出于研究的目的，作者在免费ASP空间上进行了实验，包括在CSDN提供的个人主页上。结果filefinder在这些平台上都能顺利运行。但在另一个如 2000 Server上，其默认的文件系统安全权限与NT 4.0并无太大差异。

这只是冰山一角。如果使用其他类似的服务器端脚本运行的Web服务，并提供类似scripting.filesystemobject的功能来操作文件系统，那么无论什么平台都可能会存在同样的安全隐患。本文的讨论就到这里为止。希望这篇文章能对国内ASP主页提供商提供有价值的参考意见，同时也帮助客户和提供商双方提高数据安全意识。至于更深层次的解决方案和策略，需要各方共同努力去研究和。cambrian.render('body')的调用似乎在此文本中没有特定的含义或作用，可能是特定环境或应用程序中的特定函数或方法。但无论如何，数据安全的重要性不容忽视，值得我们继续深入和研究。