在线考试系统防作弊策略

ＩＳＳＮ１００９—３０４４ＣｏｍｐｕｔｅｒＫｎｏｗｌｅｄｇｅａｎｄＴｅｃｈｍｌｏｇｙ毫奠知识≮技术

Ｖ０１．６．Ｎｏ．３３，Ｎｏｖｅｍｂｅｒ２０１０，ＰＰ．９６６０—９６６２

基于ＡＳＰ．ＮＥＴ在线考试系统防作弊策略张艳军

Ｅ－ｍａｉｈｘｓｊｌ＠ｃｃｃｅ．ｎｅｔ．ｃｎｈｔｔｐ：／／ｗｗｗ．ｄｎｚｓ．ｎｅｔ．ｃｎＴｅｌ：＋８６—５５ｌ一５６９０９６３５６９０９６４

（九江学院，汀两几汀３３２００５）摘要：在线考试系统以其高效的特性在各个高校普及开来，但是很多在线考试系统不能够保证在线考试的公平性，原因是没有设计防作弊功能．该文主要探讨了几种防作弊的策略，以增强在线考试系统的公平性。关键词：在线考试；防作弊；ＡＳＰ．ＮＥＴ；ＭＤＳ算法中囤分类号：ＴＰ３１１文献标识码：Ａ文章编号：１００９－３０４４（２０１０）３３．９６６０－０３

ＳｔｏｐｃｈｅａｔｉｎｇＳｔｒａｔｅｇｉｅｓｏｆＡｓｐ．ｎｅｔ－ＢａｓｅｄＯｎｌｉｎｅＥｘａｍＳｙｓｔｅｍ

ＺＨＡＮＧＹａｈＪｕｎ０ｉｕｊｉａｎｇＵｎｉｖｅｒｓｉｔｙ，Ｊｉｕｊｉａｎｇ３３２００５，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：Ｔｈｅｅｘａｍｉｎａｔｉｏｎｓｙｓｔｅｍｉｎｌｉｎｅｗｉｔｈｔｈｅｃｈａｒａｃｔｅｒｉｓｔｉｃｓｉｎｄｉｆｆｅｒｅｎｔｉｎｓｔｉｔｕｔｉｏｎｓｏｆｈｉｇｈｅｒｅｄｕｃａｔｉｏｎ，ｂｕｔｍａｎｙｏｎｌｉｎｅｔｈｅｅｘａｍｉ—ｎａｔｉｏｎｓｙｓｔｅｍｗｍｇｕａｒａｎｔｅｅｊｕｓｔｉｃｅｅｘａｍｉｎａｔｉｏｎｆｏｒａｎｙｆｕｎｃｔｉｏｎｐｒｅｖｅｎｔｃｈｅａｔｉｎｇ．Ｔｔｌｉｓａｒｔｉｃｌｅｍａｉｎｌｙｄｉｓｃｕｓｓｅｓｓｅｖｅｒａｌｐｒｅｖｅｎｔ

ｃｈｅａｔ－

ｉｎｇｓｔｒａｔｅｇｙｔｏｅｎｈａｎｃｅｊｕｓｔｉｃｅｏｆｏｎｌｉｎｅｔｈｅｅｘａｍｉｎａｔｉｏｎｓｙｓｔｅｍ，

Ｋｅｙｗｏｒｄｓ：ＯｎｌｉｎｅＥｘａｍ；Ｓｔｏｐｃｈｅａｔｉｎｇ；ＡＳＰ．ＮＥＴ；ＭＤＳ

ａｒｉｔｈｍｅｔｉｃ

ＡＳＰ．ＮＥＴ是一种创建动态Ｗｅｂ应用程序的技术，是一个专门用来开发Ｗｅｂ应用程序的开发平台。基于ＡＳＰ．ＮＥＴ的在线考试系统一般采用Ｂ／Ｓ的机构模式。Ｂ／Ｓ通常分三层结构，第一层客户端；第二层Ｗｅｂ服务器；第三层数据库端。因此防作弊系统可以从队客户端限制，服务器及数据库端加密等方式来实现。下面就几种防作弊策略进行阐述。

１基于ＡＳＰ．ＮＥＴ的防越界面登录防止越界面髓录，主要是防止非法用户绕过鼙录界面，直接在地址栏输入其他页面地址进入考试系统，进行盗取试题答案等非法操作。这个问题可以通过建迂ｓｅｓｓｉｏｎ对象来解决，首先判断ｓｅｓｓｉｏｎ是否为空，如果为空则转入登录页面，如果不为空则正常加载。方法代码如下：Ｃ＃ｃｏｄｅｐｕｂｌｉｃｃｌａｓｓＢａｓｅＰａｇｅ：Ｓｙｓｔｅｍ．Ｗｅｂ．ＵＩ．Ｐａｇｅ

｛∥重载页面方法

ＰｒｏｔｅｃｔｅｄｏｖｅｒｒｉｄｅｖｏｉｄＯｎｌｏａｄ（ＥｖｅｎｔＡｒｇｓｅ）ｆ，，如果没有登录．转到登录，Ｓｅｓｓｉｏｎ不为空，则正常加载页面．

Ｉｆ（Ｓｅｓｓｉｏｎ［”ＵｓｅｒＮａｍｅ”］＝＝ｎｕｌｌ）ｆＲｅｓｐｏｎｓｅ．Ｒｅｄｉｒｅｃｔ（”－／Ａｄｍｉｎ／Ｌｏｇｉｎ．ａｓｐｘ”）；｝ｅｌｓｅ｛Ｂａｓｅ．ＯｎｅＬｏａｄ（ｅ）；｝｝｝

２基于ＡＳＰ．ＮＥＴ的防多点登录在线过程中．考生有ｊＩ能进行多ＩＰ登录，就是用一个账户信息在不同的电脑上登录同一个考试系统。为了防止这种多点登录的情况，我们引入Ｓｅｓｓｉｏｎ作为变量失效的时问，通过设置Ｓｅｓｓｉｏｎ的值来决定用户登录有的效性。首先判断有没有登录，如果用户没有登陆，则登陆，并将径陆信息放到ａｐｐｌｉｃａｔｉｏｎ，信息为：用户ｉｄ，用户ｌ；ｅｓｓｉｏｎｉｄ，用户餐陆时问，登陆ＩＰ；如果用户已登陆，则每次请求要检查ａｐｐｌｉｃａｔｉｏｎ，一旦用户ｉｄ相同，而ｓｅｓｓｉｏｎｉｄ不同，即表明该用户在其它地方登陆，当前登陆无条件注销，也就是将ｓｅｓｓｉｏｎ设置为失效，转到登陆页面，提示用户该用户ｉｄ登陆过，当前登陆已注销。下面是实现防止多点登录的程序。ＰｒｏｔｅｃｔｅｄｖｏｉｄｂｔｕＬｏｇｉｎ—Ｃｌｉｃｋ（ｏｂｊｅｅｔｓｅｎｄｅｒ，ＥｖｅｎｔＡｒｇｓｅ）

收稿日期：２０１０—１０－２６作者简介：张艳军，男。江西九江人，讲师，本科，研究方向：计算机网络安全。

本栏目责任编辑：测媛媛万方数据第６卷第３３期（２０１０年１１月）ＣｏｍｐｕｔｅｒＫｎｏｗｌｅＩｇｅａｎｄＴｅｃｈｎｏｌｏｇｙ电■知识与技术

｛ＳｔｒｉｎｇｓｉｒＫ＝ｔｘｔＮａｍｅ．Ｔｅｘｔ＋”一”＋ｔｘｔＰｗｄ．Ｔｅｘｔ；／／得到Ｃａｃｈｅ中的给定ｓｔｒ＿ｋ的值ＳｔｒｉｎｇｓｔｒＵｓｅｒ＝Ｃｏｎｖｅｒｔ．Ｔｏｓｔｒｉｎｇ（Ｃａｃｈｅ［ｔｒｅ∽；

／／Ｃａｃｈｅ中没有该Ｓｔｒ＿Ｋ的项目，表名用户没有登录，或者登录超时ｉｆ（ｓｔｒＵｓｅｒ＝Ｓｔｒｉｎｇ．Ｅｍｐｔｙ）／／ＴｉｍｅＳｐａｎ构造函数，判断是否登录。

｛

ＴｉｍｅＳｐａｎＳｅｓｓＴｉｍｅＯｕｔ＝ｎｅｗＴｉｍｅＳｐａｎ（０，０，ＨｔｔｐＣｏｎｔｅｘｔ．Ｃｕｒｒｅｎｔ．Ｓｅｓｓｉｏｎ．Ｔｉｍｅｏｕｔ，０，ｏ）；ＨｔｔｐＣｏｎｔｅｘｔ．Ｃｕｒｒｅｎｔ，Ｃａｃｈｅ。Ｉｎｓｅｒｔ（ｓｔｒ＿Ｋ，ｓｔｒ＿Ｋ，ｎｕｌｌ，ＤａｔｅＴｉｍｅ。ＭａｘＶａｌｕｅ，ＳｅｓｓＴｉｍｅＯｕｔ，ＣａｃｈｅｈｅｍＰｒｉｏｒｉｔｙ．ＮｏｔＲｅｍｏｖａｂｌｅ，ｎｕｌｌ）；Ｓｅｓｓｉｏｎ［“Ｕｓｅｒ”】＝８ｔｒ＿ｌ（；Ｒｅｓｐｏｎｓｅ．Ｗｒｉｔｅ（“＜ｈ２ｓｔｙｌｅ＝＇ｅｏｌｏｒ：ｒｅｄ＇＞成功登录！”）；

ｌｅｌｓｅ／／在Ｃａｃｈｅ中存在该用户，禁止再次登录

（Ｒｅｓｐｏｎｓｅ．Ｗｒｉｔｅ（“＜ｈ２ｓｔｙｌｅ＝＇ｃｏｌｏｒ：．ｒｅｄ＇＞禁止再次登录！”）；Ｒｅｔｕｒｎ；ｌ

ｌ

３键盘控制由于在线考试，老师无法监管到每个学生，为了防止学生利用网络搜索答案，或者利用复制，刷新等方式作弊，对考生所用键盘的一些辅助键或者功能键进行适当的屏蔽限制，可以很好的防止学生作弊。屏蔽键盘主要是将Ｅｖｅｎｔ的属性ＫｅｙＣｏｄｅ的值至零。例如屏蔽刷新键Ｆ５。可以用如下代码：

ｉｆ（ｅｖｅｎｔ．ｋｅｙＣｏｄｅ－－＝ｌ１６）／Ｌ屏蔽Ｆ５刷新键｛ｅｖｅｎｔ．ｋｅｙＣｏｄｅ＝０；ｅｖ‘ｅ玎ｔ．ｒｅｔｕｍ．Ｖａｌｕｅ－－－ｆａｌｓｅ：ｌＣｔｒｌ键．回车键都可以用此方法屏蔽。只要查ＡＳＣＩＩ表找出其ＡＳＣＩＩ值就可以了。

４防止ＳＱＬ设计漏洞攻击ＳＱＬ注入式攻击，就是攻击者把ＳＱＬ命令插入到Ｗｅｂ表单的输入或页面请示的查询字符串，欺骗服务器执行恶意的ＳＱＬ命令。在某些表单中，用户输入的内容可能直接用来构成ＳＱＬ命令，如果不加防范的话，很容易受到ＳＱＬ注入式攻击。下面是一个常见的ＳＱＬ注入式攻击过程示例：１）ＡＳＰ．ＮＥＴ登录页面，有两个文本输入框ＴＸＴ＿ＵＳＥＲＩＤ、ＴＸＴ＿ＰＡＳＳＷＯＲＤ用来输入用户名和密码，一个登录按扭进行验证登录。２）单击“登录”按扭后根据文本框构造动态ＳＱＬ命令，并根据是否返回记录为登录成功的标志。代码如下：ＳｑｌＣｏｎｎｅｅｆｉｏｎｃｏｎ＝ｎｅｗＳｑｌＣｏｎｎｅｃｔｉｏｎ（＠ＣｏｎｆｉｇｕｒａｔｉｏｎＳｅｔｔｉｎｇｓ．ＡｐｐＳｅｔｔｉｎｇｓ［”ｓｅｒｖｅｒ＇。豫ｊｍｐａｓｓｗｏｒｄＰａｓｓｗｏｒｄ＝ｎｅｗｊｍｐａｓｓｗｏｒｄ０；

ｓｔｒｉｎｇｐａｓｓｗｏｒｄ＝Ｐａｓｓｗｏｒｄ．ＥｎｅｒｙｐｔＰａｓｓｗｏｒｄ（ｔｘｔｐａｓｓｗｏｒｄ．Ｔｅｘｔ．ＴｏＳｔｒｉｎｇＯ，”ＳＨＡｌ”、＋Ｐａｓｓｗｏｒｄ．ＥｎｅｒｙｐｔＰａｓｓｗｏｒｄ（ｔｘｔｐａｓｓｗｏｒｄ．Ｔｅｘｔ．ＴｏＳｔｒｉｎｇＯ，＂ＭＤ５”）；

ＳｑｌＣｏｍｍａｎｄｔｏｒｅｒｏ＝ｎｅｗＳｑｌＣｏｍｍａｎｄ（”ｓｅｌｅｃｔｃｏｕｎｔ（４）ｆｒｏｍｖｅｒｉｆｙｗｈｅｒｅｉｄ＝”’＋ｔｘｔｕｓｅｒｉｄ．Ｔｅｘｔ＋”７ａｎｄｐａｓｓｗｏｒｄ＝”＋ｐａｓｓｗｏｒｄ＋”“‘，ｃｏｎ）；

ｃｏｎ．Ｏｌ弛ｎＯ；‘ｉｎｔｊｌ＝（Ｉｎｔ３２）ｃｏｍｍ．ＥｘｅｃｕｔｅＳｅａｌａｒ０；

ｃｏｎ．Ｃｌｏｓｅ０；３）攻击者在用户名输入框中输入“ｔＨ’ｏｒ’ｌ’＝７１”，密码框为空，单击登录。４）经过ＳＱＬ注入攻击后生成的ＳＯＬ命令变为：舱ｌｅｅｔｃｏｕｎｔ（＋）ｆｒｏｍＶ啦ｗｈｅｒｅｉｄ－俏７ｏｒ’１＂－－Ｉａｎｄｐａｓｓｗｏｒｄ＝一．从而改变ＳＱＬ语句的逻辑含义，服务器执行后已经不能真正验证用户身份，系统就错误地授权给攻击者。甚至以出现危害更大的代码。如文本框输＂ＬＨ＇；ＤＲＯＰＴＡＢＬＥⅥ￡Ｉ哪Ｙ；一一，ＳＱＬ语句将生成为：ｓｅｌｅｃｔｃｏｕｎｔ（４）ｆｒｏｍｖｅｒｉ每ｗｈｅｒｅｉｄ＝＇ＬＩ－Ｉ＇；ＤＲＯＰＴＡＢＬＥＶＥｌｍＹ；一ａｎｄ

ｐａｓｓｗｏｒｄ＝“。防范ＳＱＬ注入攻击的措施：．１）将ＳＯＬ中使用的一些特殊符号，如“”。“一”，“严”，“％”等，用Ｒ印ｌａｃｅＯ方法过滤掉，缺少了这些符号，攻击代码也就变得没有意义。２）限制文本框输入字符的长度。３）检查用户输入的合法性，确信输入的内容只包含合法的数据。４）充分利用正则表达式来检验数据的合法性。数据检查应当在客户端和服务器端都执行，之所以要执行服务器端难，是为了弥

本拦目责任编辑：谢媛媛万方数据