利用网页修改域登录密码
你可以写一个ASP脚本来创建一个修改密码的网页。ASP可以让你完全访问活动目录接口（ADSI）,这样你就可以用ASP完成一系列的功能，向修改用户密码或者创建用户帐号。当你写这样一个脚本的时候，你必须考虑这样一个问题---哪些用户可以运行脚本，当脚本运行是你应该使用哪些权限。用来修改用户密码的基本的ADSI命令是：
strUserCN = request.form("cn")
strNewPassword = request.form("newpass")
strPassVerify = request.form("passverify")
if strUserCN="" then
response.write "<html><head><title>Change Password</title></head><body>"
response.write "<center><h1>Web Password Reset</h1></center>"
response.write "<hr>
<form method=post action=changepass.asp><table>"
response.write "<tr><td>CN: </td><td><input type=text name=cn></td><tr>"
response.write "<tr><td>New Password: </td><td><input type=password name=newpass></td></tr>"
response.write "<tr><td>Verify Password: </td><td><input type=password name=passverify></td></tr>"
response.write "<tr><td colspan=2 align=center><input type=submit value='Reset Password'></td></tr>"
response.write "</table></body></html>"
response.end
else
if strNewPassword = strPassVerify then
set usr = GetObject("LDAP://CN=" & strUserCN & ",CN=Users,DC=savilltech,DC=com")
usr.put "userPassword", strNewPassword
response.write "<html><head><title>Results</title></head><center><h1>Update Results</h1></center><hr>
"
response.write strUserCN & ": password was successfully updated"
response.end
else
response.write "<html><head><title>Error!</title></head><body>"
response.write "<center><h1>An Error Has Occurred!</h1></center>"
response.write "<hr>
"
response.write "The password and confirmation do not match. Please go back and try again."
response.end
end if
end if
%>
防范SQL注入式攻击
动态生成Sql命令时没有对用户输入的数据进行验证是Sql注入攻击得逞的主要原因。
比如：
如果你的查询语句是select * from admin where username='\"&user&\"' and password='\"&pwd&\"'\"
那么，如果我的用户名是：1' or '1'='1
那么，你的查询语句将会变成：
select * from admin where username='1 or '1'='1' and password='\"&pwd&\"'\"
这样你的查询语句就通过了，从而就可以进入你的管理界面。
所以防范的时候需要对用户的输入进行检查。特别式一些特殊字符，比如单引号，双引号，分号，逗号，冒号，连接号等进行转换或者过滤。
需要过滤的特殊字符及字符串有：
xp_cmdshell
/add
exec master.dbo.xp_cmdshell
net localgroup administrators
select
count
Asc
char
mid
'
:
\"
insert
delete from
drop table
update
truncate
from
%
下面是我写的两种关于解决注入式攻击的防范代码，供大家学习参考！
js版的防范SQL注入式攻击代码～：
<!--
var url = location.search;
var re=/^\?(.*)(select%20|insert%20|delete%20from%20|count\(|drop%20table|update%20truncate%20|asc\(|mid\(|char\(|xp_cmdshell|exec%20master|net%20localgroup%20administrators|\"|:|net%20user|\'|%20or%20)(.*)$/gi;
var e = re.test(url);
if(e) {
alert(\"地址中含有非法字符～\");
location.href=\"error.asp\";
}
//-->
<script>
asp版的防范SQL注入式攻击代码～：
On Error Resume Next
Dim strTemp
If LCase(Request.ServerVariables(\"HTTPS\")) = \"off\" Then
strTemp = \"http://\"
Else
strTemp = \"https://\"
End If
strTemp = strTemp & Request.ServerVariables(\"SERVER_NAME\")
If Request.ServerVariables(\"SERVER_PORT\") <> 80 Then strTemp = strTemp & \":\" & Request.ServerVariables(\"SERVER_PORT\")
strTemp = strTemp & Request.ServerVariables(\"URL\")
If Trim(Request.QueryString) <> \"\" Then strTemp = strTemp & \"?\" & Trim(Request.QueryString)
strTemp = LCase(strTemp)
If Instr(strTemp,\"select%20\") or Instr(strTemp,\"insert%20\") or Instr(strTemp,\"delete%20from\") or Instr(strTemp,\"count(\") or Instr(strTemp,\"drop%20table\") or Instr(strTemp,\"update%20\") or Instr(strTemp,\"truncate%20\") or Instr(strTemp,\"asc(\") or Instr(strTemp,\"mid(\") or Instr(strTemp,\"char(\") or Instr(strTemp,\"xp_cmdshell\") or Instr(strTemp,\"exec%20master\") or Instr(strTemp,\"net%20localgroup%20administrators\") or Instr(strTemp,\":\") or Instr(strTemp,\"net%20user\") or Instr(strTemp,\"'\") or Instr(strTemp,\"%20or%20\") then
Response.Write \"<script language='j avascript'>\"
Response.Write \"alert('非法地址！！');\"
Response.Write \"location.href='error.asp';\"
Response.Write \"<script>\"
End If
%>
PDC时间服务器的设定事项
如果在WinSrv2003上正确配置时间服务器后，仍然出现问题，可参考微软KB文档：830092
