2．密码与后台管理
    密码问题是直接导致系统被入侵原因，因此网站管理员需要变更为复杂性密码，其规则可以参考微软的操作系统建议，同样适合Web服务器页面的后台管理验证，如：

    是否允许用户重新使用旧的密码（强制密码历史），在两次更改密码之间的时间（最大密码寿命以及最小密码寿命），最小密码长度（最小密码长度），以及用户是否必须混合使用大小写字母、数字和特殊字符（密码必须满足复杂性要求）。我建议你最低要求，也应该采用每45天更改一次密码，或要求至少8个字符的密码，并确保开启了密码必须满足复杂性要求设置。

    另外需要防止后台入口的使用标准目录结构，如更换成某些注入工具字典中没有的后台目录名称。当然，如果有更高安全要求可以启用SSL+CA+验证码的组合登录凭证，或者采用更高等级的动态（令牌）认证。

    3．多层身份验证
    在此方案中，Web 服务器验证调用方的身份，并通过使用调用方的标识限制对本地资源的访问。数据库验证 ASP默认进程标识（它是权限最少的帐户）的身份（即数据库信任 ASP 应用程序），可监测ASP代码安全，并升级到SQL Server数据库实现多层身份认证，参见表2。

    表2 安全措施