2、WEB應(yīng)用服務(wù)器與DB服務(wù)器分別使用不同的機(jī)器來存放，并且之間最好通過防火墻來進(jìn)行邏輯隔離，因?yàn)槌�了有程序在探測(cè) sa 沒密碼的SQL Server，SQL Server 本身及大量的擴(kuò)展存儲(chǔ)過程也有被溢出攻擊的危險(xiǎn)。

3、數(shù)據(jù)庫服務(wù)器盡量不要與公網(wǎng)進(jìn)行連接，如果一定要直接提供公網(wǎng)的連接存儲(chǔ)，應(yīng)考慮使用一個(gè)非標(biāo)準(zhǔn)端口并限制IP地址來進(jìn)行連接。

4、SA一定要設(shè)成強(qiáng)悍的密碼，尤其是SQL Server 2000以前的版本，在默認(rèn)安裝Sql時(shí)sa賬號(hào)沒有密碼，而一般管理員裝完后也忘了或怕麻煩而不更改密碼。

5、改掉缺省的Web虛擬路徑，不要使用IIS裝好后預(yù)設(shè)的<系統(tǒng)盤>\Inetpub\WWWRoot路徑，否則利用前面敘述的另存為方式，很容易在該目錄下動(dòng)手腳。

6、將平時(shí)不使用的但功能強(qiáng)大的擴(kuò)展存儲(chǔ)過程刪除。

7、使用網(wǎng)絡(luò)和主機(jī)IDS來監(jiān)控重要系統(tǒng)的運(yùn)行狀況。

8、隨時(shí)注意是否有新的補(bǔ)丁需要補(bǔ)上，目前SQL2000最新的補(bǔ)本包為SP4。

9、盡量的利用ASP 或者 ASP.NET 在服務(wù)器端檢查與限制輸入變量的類型與長(zhǎng)度，過濾掉不需要的內(nèi)容。要注意的是這些檢查不只是要放在前端，后端也要檢測(cè)。 在前端利用Html Input 標(biāo)簽的MaxLength屬性來限制輸入長(zhǎng)度，或是以JScript編寫程序來限定文本域的長(zhǎng)度，但是只要將該網(wǎng)頁另存為，修改內(nèi)容后(一般只要改寫Form的Action屬性以及Input的MaxLength屬性)，重新用瀏覽器打開更改過后的頁面就可以躲過這些瀏覽器前端的檢查。

10、使用容錯(cuò)語句，不要顯示錯(cuò)誤信息到前端，利用VBScript語法的On Error Resume Next來屏蔽SQL的出錯(cuò)提示，并搭配If Err.Number<>0 Then的錯(cuò)誤處理方式，自行將錯(cuò)誤重定向到適當(dāng)?shù)腻e(cuò)誤處理網(wǎng)頁，如此系統(tǒng)將更穩(wěn)固，且黑客也不容易透過錯(cuò)誤信息來探知系統(tǒng)的內(nèi)部運(yùn)作方式。或者，也可以修改<系統(tǒng)盤>\Winnt\Help\iisHelp\common\500-100.asp預(yù)設(shè)網(wǎng)頁，最簡(jiǎn)單的方式就是將它改名。例：

on error resume next
sql2="select * from dv_admin where username='"&ReqStr("username")&"'"