Seguridad en descargas privadas

[sjam7]

Código:

<%
'Tomo los campos para sacar info del archivo de una BD
categoria=request.querystring("cat")
producto=request.querystring("prod")

'Conecto con la BD
RS = Server.MapPath("bd.mdb")
Set conexion = Server.CreateObject("ADODB.Connection")
conexion.Open "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & RS & ";"
Set RS = Server.CreateObject("ADODB.Recordset")

SQL = "SELECT * FROM productos WHERE id = "& producto
RS.Open sql, conexion,1,1

'Obtengo la pagina de donde viene el visitante
vienen= request.ServerVariables("HTTP_REFERER")

if not RS.eof then
'Aqui en este campo esta el nombre del archivo...solo el nombre
prod=rs("archivo")

'Verifico si el visitante viene de la pagina que debe venir para poder descargar el archivo, si viene de otra no lo puede bajar
If prod <> "" and (instr(1,vienen,"productos.asp") or instr(1,vienen,"apuestas")) then

	Response.ContentType = "application/x-unknown" ' arbitrary 

'Directorio donde estan los archivos mas el nombre del archivo
	FPath = server.mappath ("archivo\" & prod)
	Response.AddHeader "Content-Disposition","attachment; filename=" & prod

	Set adoStream = CreateObject("ADODB.Stream") 
	adoStream.Open() 
	adoStream.Type = 1 
	adoStream.LoadFromFile(FPath) 
	Response.BinaryWrite adoStream.Read() 
	adoStream.Close 
	Set adoStream = Nothing 

Else

'si no viene de donde debe venir se regresa al index
response.redirect "index.asp"
End if
Response.End

else
response.write request.ServerVariables("PATH_INFO")

end if
rs.close
set rs=nothing
%>