'ASP 防注入' Tag
-
ASP防注入之解决方案–加强版
五月 9, 2010<%
‘ASP防注入之解决方案
‘特殊页面处理
‘因为有些页通过流式传递(比如含有文件上传的表单)
‘如果单一使用穷举Form对象的操作就会出错
‘所以要把这些页面过滤出来,同时在页面中使用sql(“检测的字串”)才行
‘垃圾猪zero@new57.com‘http://blog.csdn.net/cfaq
‘将本页用include方法放在头部以让所有页都可以调用,比如include在conn.asp里
‘如果有流式上传的页面请把该页加到表page中,以防form冲突
Dim N_no,N_noarray,req_Qs,req_F,N_i,N_dbstr,Conn,N_rs,N_userIP,N_thispage
N_userip = Request.ServerVariables(“REMOTE_ADDR”)
N_thispage = LCase(Request.ServerVariables(“URL”))
N_no = “‘|;|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare” ‘可以自己修改怀疑是注入操作的字串
N_noarray = split(LCase(N_no),”|”)
Call DBopen()
Call N_check_Qs()
Call N_checkPage()
Call DBCLose()
‘检测当前页是否是特殊页是就调用 N_check_form()
sub N_checkPage()
set N_rs = server.CreateObject(“ADODB.RecordSet”)
N_rs.open “select * from page where spcpage like ‘%”&N_thispage&”%’”,conn,1,1
if (N_rs.eof AND N_rs.Bof) then
Call N_check_form()
end if
N_rs.Close()
set N_rs = nothing
end sub
‘检测给定字串
sub N_sql(agsql)
’这里是不记录数据库,如果要改请自己修改
N_check “CUS”,req_Qs,”OTHER”
end sub
‘检测Request.Form
sub N_check_form()
If Request.Form<>”” Then
For Each req_F In Request.Form
N_check req_F,Request.Form(req_F),”POST”
Next
end if
end sub
‘检测Request.QueryString
sub N_check_Qs()
If Request.QueryString<>”” Then
For Each [...] -
编写通用的asp防注入程式-ASP教程,安全加密
五月 9, 2010sql注入被那些菜鸟级别的所谓黑客高手玩出了滋味，，发现目前大部分黑客入侵都是基于sql注入实现的
，哎，，谁让这个入门容易呢，好了，，不说废话了，，目前我开始说如果编写通用的sql防注入程式
一般的http请求不外乎 get 和 post,所以只要我们在文件中过滤所有post或get请求中的参数信息中
非法字符即可，所以我们实现http 请求信息过滤就能判断是是否受到sql注入攻击。
iis传递给asp.dll的get 请求是是以字符串的形式，，当 传递给request.querystring数据后，，
asp解析器会分析request.querystring的信息，，然后根据”&”，分出各个数组内的数据
所以get的拦截如下
首先我们定义请求中不能包含如下字符
|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare
各个字符用”|”隔开，，然后我们判断的得到的request.querystring
具体代码如下
dim sql_injdata
sql_injdata = “|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare”
sql_inj = split(sql_injdata,”|”)
if request.querystring“” then
for each sql_get in request.querystring
for sql_data=0 to ubound(sql_inj)
if instr(request.querystring(sql_get),sql_inj(sql_data))>0 then
response.write “alert(天下电影联盟sql通用防注入系统提示↓nn请不要在参数中包含非法字符尝试注入！);history.back(-1)”
response.end
end if
next
next
end if
这样我们就实现了get请求的注入的拦截，不过我们还要过滤post请求，所以我们还得继续考虑request.form,这个也是以数组形式存在的，，我们只需要再进一次循环判断即可。代码如下
if request.form“” then
for each sql_post in request.form
for sql_data=0 to ubound(sql_inj)
if instr(request.form(sql_post),sql_inj(sql_data))>0 then
response.write “alert(天下电影联盟sql通用防注入系统提示↓nn请不要在参数中包含非法字符尝试注入！nnhttp://www.521movie.com );history.back(-1)”
response.end
end if
next
next
end if
好了大功告成，，我们已实现了get和post请求的信息拦截，，你只需要在conn.asp之类的打开数据库文件之前引用这个页面即可。放心的继续研发你的程式，，不用再考虑是否还会受到sql注入攻击。难道不是么？
