sql注入攻击原理及攻防（4）
来源：asp之家 发布时间：2010-02-21 12:04:00
第三节、经验小结
1.有些人会过滤Select、Update、Delete这些关键字，但偏偏忘记区分大小写，所以大家可以用selecT这样尝试一下。
2.在猜不到字段名时，不妨看看网站上的登录表单，一般为了方便起见，字段名都与表单的输入框取相同的名字。
3.特别注意：地址栏的+号传入程序后解释为空格，％2B解释为+号，％25解释为％号，具体可以参考URLEncode的相关介绍。
4.用Get方法注入时，IIS会记录你所有的提交字符串，对Post方法做则不记录，所以能用Post的网址尽量不用Get。
5. 猜解Access时只能用Ascii逐字解码法，SQLServer也可以用这种方法，只需要两者之间的区别即可，但是如果能用SQLServer的报错信息把值暴露出来，那效率和准确率会有极大的提高。
防 范 方 法
ＳＱＬ注入漏洞可谓是“千里之堤，溃于蚁穴”，这种漏洞在网上极为普遍，通常是由于程序员对注入不了解，或者程序过滤不严格，或者某个参数忘记检查导致。在这里，我给大家一个函数，代替ASP中的Request函数，可以对一切的SQL注入Say NO，函数如下：
Function SafeRequest（ParaName，ParaType）
‘--- 传入参数 ---
’ParaName：参数名称-字符型
‘ParaType：参数类型-数字型（1表示以上参数是数字，0表示以上参数为字符）
Dim ParaValue
ParaValue=Request（ParaName）
If ParaType=1 then
If not isNumeric（ParaValue） then
Response.write “参数” & ParaName & “必须为数字型！”
Response.end
End if
Else
ParaValue=replace（ParaValue，“’”，“‘’”）
End if
SafeRequest=ParaValue
End function
文章到这里就结束了，不管你是安全人员、技术爱好者还是程序员，我都希望本文能对你有所帮助。
0
投稿猜你喜欢
序言现有的微服务模式需要再业务代码中集成大量基础设施模块，比如注册中心，服务发现，服务调用链路追踪，请求熔断，重试限流等等，使得系统过于臃肿- 实现方法： 第一步：channelunit.func.php中添加如下函数 //参数说明：第1个参数是从信息表里读取出来的类别ID，第2个参
- 标签在web1.0时代可能只是网页的装饰，内容的摆设，技术的鸡肋。但在web2.0时代，标签将是整个网站内容关联体系最重要的一环。可以负责任
- 简述本文介绍如何在Windows XP 64位操作系统中安装和管理Exchange 2007！以下为实现的步骤:1. 安装IIS中的Comm
- 连接到你的独立服务器，一般来说有两种方式：你可以使用一个基于网络的接口，如Plesk；或者你可以使用SecureShellprotocol(
- 1、编写一个简单的java程序public class testshell { public static void main(
- 尽管功能服务器概念的提出可以追溯到十几年前，可是功能服务器的产品是这两三年才火起来的，因为它是为了满足用户的特殊需求而定制的专用服务器。说到
- 什么是ssh管理员可以通过远程登陆的方式，对通过网相连的分散于各处的多台主机进行管理操作。管理员可以对远程主机进行如下操作： 远程
- 我们的所有托管计划都会含有一些免费的server-side applications，你可以在建设网站及客户化你的网站时使用它们。可以通过访
- 最近在使用虚拟机时遇到一些麻烦，因为公司内部有网络管理，所以vm连接不上外网，yum无法安装软件，怎么解决呢？–使用iso做本地yum源，可
- 新华网北京12月27日电一个名为“IE7攻击代码(Hack.Exploit.Script.JS.Agent.ic)”的恶意代码本周特别值得注
- 一、系统安装：系统安装采用光盘安装，以前一直从USB移动硬盘安装，前几天心血来潮，刻成了DVD，以示严肃和一切从头开始，呵呵。 1、安装语言
- 我们的防火墙是不是经常有人来攻击你XXX端口呢?如果关掉相应没有用处的端口不就好了吗? 一般来说，我们采用一些功能强大的反黑软件和防火墙来保
- 什么是虚拟软件：虚拟软件是一个可以使你在一台机器上同时运行二个或更多Windows、LINUX等系统。它可以模拟一个标准PC环境。这个环境和
- 网络赚钱需要一些准则，纵观网赚界，你们可以发现一些网络赚钱高手身上都带有以下几条黄金准则。一、敢于展现自己，正所谓人气就是金钱，凝聚人的力量
- Linux的screen命令不错，习惯了你会觉得它比windows的任务栏好用多了。下面是我的.screenrc，仅供参考Linux的scr
- 信号量、同步这些名词在进程间通信时就已经说过，在这里它们的意思是相同的，只不过是同步的对象不同而已。但是下面介绍的信号量的接口是用于线程的信
- 相信这个问题近两天大家都遇到了吧，DZ官方说是js的冲突造成了，无从考究了，找到了一个解决方法：修改论坛目录下 includejscommo
- 首次在站长站上写东西，就随便扯点吧，希望各位站长多指教，多交流!为什么我会把许三多与个人网站扯在一起呢?相信看过这部片子的人，应该都记得连长
- 为了给发布商提供更多的透明度以及控制网站上所展示的广告的权利，我们开发了广告查看中心，该功能将会在接下来的几个月中陆续推出。这个功能可以让您
