ASP编程菜鸟易犯的一个错误（2）
作者：佚名 来源：12it.net 发布时间：2008-10-29 13:27:00
标签：
SUB.asp程序
<％
接收表单中的数据
user=request.from("UserID")
检察表单提交的数据是否为空(表单页面可能你用JAVASCRIPT OR VBSCRIPT控制了，但这里也不要忘记控制！
if user="" then
转到出错提示页面！
response.redirect "err1.htm"
这一句可能没用，但加上为好！
response.end
end if
pass=request.from("Pass")
if pass="" then
response.redirect "err2.htm"
response.end
end if
联接数据库
file=server.mappath("你的数据库")
set conn=server.createobject("adodb.connection")
dr="driver={microsoft access driver (*.mdb)};dbq="&file
conn.open dr
set rs=server.createobject("adodb.recordset")
关键是这里的SQL语言
sql="select * from 表 where user= "&user&" and pass= "&pass&" "
rs.open sql
if not rs.eof then
找到的话就进入管理页面
reponse.redirect "login.asp"
else
没找到就进入错误页面
response.write "err3.htm"
end if
％>
大家感觉以上代码应该没问题啊，但是这里有一个严重的安全隐患：
我如果想登录管理员的话可以在SUb.htm表单输入框中输入：
第一个文本框中输入：a or 1 = 1 或 OR =
第二个文本框中输入：a or 1 = 1 或 OR =
提交，大家会看到...“呜，听我说完好不好，砖头一会再丢过来..."
"a " 和“1”为任意字符
有人会问为什么你输入这些字符会以管理员身份进入呢？？
0
投稿猜你喜欢
Python自动化脚本登录校园网所需工具：python编译环境(博主使用的pycharm作演示，其实在cmd也可以操作！)selenium自- fixtures调用其他fixtures及fixture复用性 pytest最大的优点之一就是它非常灵活。它可以将复杂的测试需求简
- 一、zipfile模块的简述zipfile是python里用来做zip格式编码的压缩和解压缩的，由于是很常见的zip格式，所以这个模块使用频
- ob缓存介绍ob是output buffering的简称，输出缓冲区，缓冲区是通过php.ini中的output_buffering变量控制
- 运行net start mysql报服务名无效的解决办法，供大家参考，具体内容如下1. 症状以前电脑上安装了 MySQL，今天在电脑上运行，
- 引言很多人可能没有注意过，在 Go（甚至是大部分语言）中，一条普通的赋值语句其实不是一个原子操作。例如，在32位机器上写int64类型的变量
- 变量赋值与对象赋值对比<?php // 声明一个变量并赋值 $a = 1; // 将数据类型
- 当我们建好数据库及表后,首先想到的就是向数据库的表中输入数据.下面我们就来探讨一下如何向数据库增加数据:1.常用的方法是insert语句in
- 正则表达式的介绍1)在实际开发过程中经常会有查找符合某些复杂规则的字符串的需要，比如:邮箱、手机号码等，这时候想匹配或者查找符合某些规则的字
- 想必大家都知道MSSQL中SA权限是什么，可以说是至高无上。今天我就它的危害再谈点儿，我所讲的是配合NBSI上传功能得到WebShell。在
- 一、前言在学习深度学习会发现都比较爱用python这个argparse，虽然基本能理解，但没有仔细自己动手去写，因此这里写下来作为自己本人的
- 目前很多软件都限制单实例，大多数软件都是用Mutex来实现的 而这个东西咱们可以用handle去干掉它，并且不影响使用。 钉钉也是一样的步骤
- Django默认支持Session，并且默认是将Session数据存储在数据库中的修改session存取放在数据库中SESSION_ENGI
- 一、安装pip install lxml二、创建标签from lxml import etreeroot = etree.Element(&
- fab命令好似结合我们编写的fabfile.py(其它文件名必须添加-f filename应用)来搭配使用的，部分命令行参数可以通过相应的方
- 前言目前在做vue的项目，用到了子组件依赖其父组件的数据，进行子组件的相关请求和页面数据展示，父组件渲染需要子组件通知更新父组件的state
- 楔子有几天没有更新 Python 文章了，本次我们来聊一下 Python 的集合是怎么实现的？之前我们介绍过字典的实现原理，它底层是基于哈希
- RPC是Remote Procedure Call的缩写，翻译成中文就是远程方法调用，是一种在本地的机器上调用远端机器上的一个过程（方法）的
- 错误信息PS D:\parttime\python\django\guanxiangzhiji> python manage.py m
- 如下所示：#!/usr/bin/env python# -*- coding:utf-8 -*-import datetimetime_de
