改进的SQL防注入(加强抑错)
作者:垃圾猪 来源:cfaq 发布时间:2008-03-02 16:14:00
标签:注入,sql,安全
ASP防注入之解决方案
特殊页面处理
因为有些页通过流式传递(比如含有文件上传的表单)
如果单一使用穷举Form对象的操作就会出错
所以要把这些页面过滤出来,同时在页面中使用sql("检测的字串")才行
将本页用include方法放在头部以让所有页都可以调用,比如include在conn.asp里
如果有流式上传的页面请把该页加到表page中,以防form冲突
Dim N_no,N_noarray,req_Qs,req_F,N_i,N_dbstr,Conn,N_rs,N_userIP,N_thispage
N_userip = Request.ServerVariables("REMOTE_ADDR")
N_thispage = LCase(Request.ServerVariables("URL"))
N_no = "'|;|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare" '可以自己修改怀疑是注入操作的字串
N_noarray = split(LCase(N_no),"|")
Call DBopen()
Call N_check_Qs()
Call N_checkPage()
Call DBCLose()
'检测当前页是否是特殊页是就调用 N_check_form()
sub N_checkPage()
set N_rs = server.CreateObject("ADODB.RecordSet")
N_rs.open "select * from page where spcpage like '%"&N_thispage&"%'",conn,1,1
if (N_rs.eof AND N_rs.Bof) then
Call N_check_form()
end if
N_rs.Close()
set N_rs = nothing
end sub
'检测给定字串
sub N_sql(agsql)
'这里是不记录数据库,如果要改请自己修改
N_check "CUS",req_Qs,"OTHER"
end sub
'检测Request.Form
sub N_check_form()
If Request.Form<>"" Then
For Each req_F In Request.Form
N_check req_F,Request.Form(req_F),"POST"
Next
end if
end sub
'检测Request.QueryString
sub N_check_Qs()
If Request.QueryString<>"" Then
For Each req_Qs In Request.QueryString
N_check req_Qs,Request.QueryString(req_Qs),"GET"
Next
end if
end sub
'检测
sub N_check(ag,agsql,sqltype)
For N_i=0 To Ubound(N_noarray)
If Instr(LCase(agsql),N_noarray(N_i))<>0 Then
call N_regsql(ag,agsql,sqltype)
Response.Write "MO"
end if
Next
end sub
'记录并停止输出
'ag 名称
'agsql 内容
'sqltype 类型
sub N_regsql(ag,agsql,sqltype)
if(sqltype<>"OTHER") then
Conn.Execute("insert into SqlIn(Sqlin_IP,SqlIn_Web,SqlIn_FS,SqlIn_CS,SqlIn_SJ) values('"&N_userip&"','"&N_thispage&"','"&sqltype&"','"&ag&"','"&agsql&"')")
end if
Response.Write "<Script Language=JavaScript>alert('请不要在参数中包含非法字符尝试注入!');</Script>"
Response.Write "<span style='font-size:12px'>非法操作!系统做了如下记录↓<br>"
Response.Write "操作IP:"&N_userip&"<br>"
Response.Write "操作时间:"&Now&"<br>"
Response.Write "操作页面:"&N_thispage&"<br>"
Response.Write "提交方式:"&sqltype&"<br>"
Response.Write "提交参数:"&ag&"<br>"
Response.Write "提交数据:"&agsql&"</span>"
Response.end
end sub
Sub DBopen()
N_dbstr="DBQ="+server.mappath("Sql.mdb")+";DefaultDir=;DRIVER={Microsoft Access Driver (*.mdb)};"
Set Conn=Server.CreateObject("ADODB.CONNECTION")
Conn.open N_dbstr
end SUB
Sub DBCLose()
Conn.close
Set Conn = Nothing
End sub
0
投稿
猜你喜欢
- AIR(全名Adobe Integrated Runtime,前身Apollo)的来意 这几年企业应用系统慢慢己从窗口桌面转移到网页平台上,
- 北京时间10月14日消息,美国知名IT杂志《eWeek》网络版今天刊文称,即使是最忠实的谷歌“粉丝”
- 1、先修改member\do.php line:3 &nb
- 随着百度有啊的名品频道的正式上线,百度关于建立BTOC电子商城网站实施战略也步入了正式运营阶段;如果网站运营成功,此举将为百度平台价值提升起
- -[目录]-0x01 前言-0x02 什么是反射型XSS-0x03 反射型XSS的常见利用方法-0x04 浅析Anehta回旋镖模块工作原理
- 央视网络变身国家网络电视台、各地方电视台大举进军网络视频、搜索引擎百度巨资成立奇艺网……,2010年的网络视频产业迎来了“象群”,尽管他们跑
- 有Godaddy主机用户问如果在共享主机上新增了FTP用户,现在想删除的话,该如何操作呢?要想从你的共享主机上删除新增FTP用户,你可以轻松
- 1)了解搜索引擎如何抓取网页和如何索引网页。你需要知道一些搜索引擎的基本工作原理,各个搜索引擎之间的区别,搜索机器人(SE robot或叫w
- 要把这两个事情说清楚,得必须回到最开始谈论IT的时候,甚至我还复习软件工程知识。因为我本人学软件出身,所以经常会与之做类比,追本溯源可以把理
- 3、添加WEB服务扩展接着我们要在IIS6中为URL授权添加一个Web服务扩展。在Internet信息服务(IIS)管理器窗口中,依次展开&
- 现在网赚其实已经很流行了,但是多数学生只了解其表面,根本不懂其真实内容,记得原来我高中的时候看到有个网站上出现网赚这个词,是发展下线那种的,
- 核心提示:网站设计的指导思想是用户体验,也就是以用户为中心的设计。我们如何去做以用户为中心的设计呢?有人会说:“使网站有用、易用、友好,就对
- 有些发布商可能收到过这样的通知邮件:“发布商不得更改 Google 广告的行为或定位,包括在 “浮动框脚本”中实施 AdSense 广告代码
- 信报讯 (记者 贺文华) 记者获悉,针对域名持有人投诉比较集中的域名转移困难的问题,CNNIC已经向各大注册商发出通知重申,只要域名在注册后
- 国内著名IT类Blog《awflasher》上最近发布了一篇文章《ByeBye Google Adsense ---全面撤下我的内容广告》。
- 隐藏旗标(软件名和版本号)将提高安全性,可能的情况下,也请使用Sendmail以外的其他邮件服务器,因为Sendmail以root运行,比较
- 如何建立一个FTP站点,当用户用他们的用户名和密码登陆时,他们登录到自己的目录位置。尽管他们可以回到根目录,但他们不能看到其他人目录里的内容
- 在del.icio.us网摘中,标签是一个字描述,用户可以把它加到书签中。在Technorati网摘中,标签则更象是一个简单的名字分类,用户
- 速推网站长:发现现在的很多青少年在网络上玩一种叫作“偷菜”的游戏。有些人玩的至于到了一种痴迷的境界。
- Google Adsense最新的动作挺频繁的。继取消地区的Adsense推介费用、广告换成大字体、产品名称改成中文名。现在推出了一个可能会