主题：如何跟踪上一个页面的文件名

如果用户知道了一个ASP页面的路径和文件名，而这个文件又是要经过验证才能进去的，但是用户直接输入这个ASP页面的文件名，就有可能通过绕过验证.比如：我在一些网站上这样试过：首先关闭所有的浏览器，窗口，输入： 
http://someurl/system_search.asp?page=1 
　　就样就看到了只能系统员才能看到的页面。当然有些人为了防止这种情况也会在system_search.asp的开头加个判断，比如：判断session("system_name"),如果不为空时就能进入，这样上面的url请求就不能直接进入管理员页面了。但是这种方法也有一个漏洞，如果攻击者先用一个合法的帐号，或者在本机上生成一个session,如session("system_name")="admi"，那因为session("system_name")不为空，这样也能直接进入绕过密码，直接进入管理员页面。 

　　解决方法： 
　　在需要验证的ASP页面开头处进行相应的处理。比如：可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。 

------------

如何追踪上一个页面的值在到下一页面来验证啊．谁有例子来说明下．

-
--------------------------------

是Request.ServerVariables("HTTP_REFERER")，获取来源网页。
不推荐使用session