sql注入攻击原理及攻防（4）
来源：asp之家 发布时间：2010-02-21 12:04:00
第三节、经验小结
1.有些人会过滤Select、Update、Delete这些关键字，但偏偏忘记区分大小写，所以大家可以用selecT这样尝试一下。
2.在猜不到字段名时，不妨看看网站上的登录表单，一般为了方便起见，字段名都与表单的输入框取相同的名字。
3.特别注意：地址栏的+号传入程序后解释为空格，％2B解释为+号，％25解释为％号，具体可以参考URLEncode的相关介绍。
4.用Get方法注入时，IIS会记录你所有的提交字符串，对Post方法做则不记录，所以能用Post的网址尽量不用Get。
5. 猜解Access时只能用Ascii逐字解码法，SQLServer也可以用这种方法，只需要两者之间的区别即可，但是如果能用SQLServer的报错信息把值暴露出来，那效率和准确率会有极大的提高。
防 范 方 法
ＳＱＬ注入漏洞可谓是“千里之堤，溃于蚁穴”，这种漏洞在网上极为普遍，通常是由于程序员对注入不了解，或者程序过滤不严格，或者某个参数忘记检查导致。在这里，我给大家一个函数，代替ASP中的Request函数，可以对一切的SQL注入Say NO，函数如下：
Function SafeRequest（ParaName，ParaType）
‘--- 传入参数 ---
’ParaName：参数名称-字符型
‘ParaType：参数类型-数字型（1表示以上参数是数字，0表示以上参数为字符）
Dim ParaValue
ParaValue=Request（ParaName）
If ParaType=1 then
If not isNumeric（ParaValue） then
Response.write “参数” & ParaName & “必须为数字型！”
Response.end
End if
Else
ParaValue=replace（ParaValue，“’”，“‘’”）
End if
SafeRequest=ParaValue
End function
文章到这里就结束了，不管你是安全人员、技术爱好者还是程序员，我都希望本文能对你有所帮助。
0
投稿猜你喜欢
- 打开：js/color_picker.js查找：color_picker_div.style.left = findPo
1 BlueHostsanp用的第一个国外主机，Cpanel后台，支持SSH，性能还是挺稳定的，毕竟是一家老牌的主机商了。但是会有大概500- 以前黑站黑了很多，但是就没有想过会不会被追踪到，都没有想过怎么去擦自己的屁股，万万没想到在自己不再黑站的时候，却发现了自己的BBS被黑了。根
- 一、安装POP3和SMTP服务组件Windows Server 2003默认情况下是没有安装POP3和SMTP服务组件的，因此我们要手工添加
- 一、Windows Server2003的安装1、安装系统最少两需要个分区，分区格式都采用NTFS格式2、在断开网络的情况安装好2003系统
- 大家都知道页面加载速度对博客流量有非常重要的影响。最近越来越多人也在讨论页面加载速度很可能成为谷歌和其他搜索引擎一个重要的SEO因素。目前.
- Linux操作系统以其独有的开放性、稳定性、高效率等特点，受到越来越多有识之士的青睐。随着IT产业巨头纷纷宣布对Linux的支持，Linux
- 最近发现Namecheap搞了个1.99美元域名优惠活动，就有人问有没有将域名从Godaddy转移到Namecheap的图文教程，因为笔者一
- SEO自古以来都是以搜索引擎权重为重或者是（目的）的，无论哪里或者哪个SEO的目的也不过如此而已，SEO万变不离其宗，始终也离不开几大烹调要
- 一、关键词位置、密度、处理1.URL中出现关键词(英文)2.网页标题中出现关键词(1-3个)3.关键词标签中出现关键词(1-3个)4.描述标
- 您是否为网站缺少足够的广告来源而苦恼？您是否为提高广告收入而绞尽脑汁？网站定位广告可以帮助您解除烦恼。网站定位广告是广告商向指定网站定点投放
- 最近媒体进行大量报道 * 新闻，还举报CNNIC监管CN域名不利，接下来CNNIC * 一系列政策，比如未备案域名将停止解析等等。面对当下复杂的
- 近一段时间带有ARP攻击行为的病毒，木马很是常见，主要有两种表现形式：1. 频繁的出现地址冲突的现象2. 上网速度很慢甚至上不了网经分析，这
- 刚刚在站长网看到这么一篇文章“站长！你愿意干掉你网站的最大绊脚石吗？”，大致意思是让站长们把网站的流量做起来过后就删除统计代码，只顾埋头向前
- 在做网站优化的时候我们首先要做的是对竟争对手加以分析从而可以更好的实施方案，清楚了对手的情况我们还需要清楚网络优化应该避免的一些问题，一般来
- 从学会建站到现在也有一段时间了，在关于网站的推广与扩大方面也有了个人的一些看法，总结起来主要有以下几个方面：首先要从大的方面去把握。我认为这
- 详细介绍了Linux环境下利用Rpm包安装Mysql的方法步骤。◆1、下载MySQL的安装文件安装MySQL需要下面两个文件：MySQL-s
- 前天吧，晚上和朋友吃了饭聊网络，发现“www.SEOtest.cn”在Google中的排名掉了。搜索
- 在使用Google进行搜索的时候，我们有时会看到Google将部分搜索结果标记为危险，因为有些网站可能包含恶意代码或病毒，有可能会危害用户电
- 同Web站点一样，用户也可以使用多种方法来管理FTP站点服务器。例如：设置FTP站点服务器的虚拟目录的访问权限、设置匿名访问、创建用户账户等
