DW中sql注入式攻击的防范

 

DW中sql注入式攻击的防范

 

作者：吕海鹏  来源：本站原创  时间：2005-10-23 22:40:32  阅读次数：1131

---

 

雅虎中国论坛－说出你的故事 [美眉] [贴图] 女人演绎性感的九种动作 …
[佳丽] [贴图] 广阔原野与激情美人的完美结合 …
[宝贝] [贴图] 野性美女尽情展现可爱姿态 …
[尤物] [贴图] 西方美女火辣动感的无限诱惑 …
[魅力] [贴图] 镜头之下看看是车美，还是人美？ …
[隐私] 蛤蟆给天鹅的一封情书 正文：我在幽深幽深 …
[单身] 当她躺在我身边的时候 正文：你相信一见钟情 …
[情感] 每个女人确实需要一个情夫 正文: 世人常有 …
[海外] 柏拉图和苏格拉底经典对话 正文: 有一天， …
[围城] 男人应该宽容女人出轨吗 正文:男人会原谅 …
论坛首页  养眼美眉  情感故事  同志  中年  隐私 

    Dreamweaver+ASP可视化编程门槛很低，新手很容易上路。在很短的时间里，新手往往就已经能够编出看来比较完美的动态网站，在功能上，老手能做到的，新手也能够做到。那么新手与老手就没区别了吗？这里面区别可就大了，只不过外行人很难一眼就看出来罢了。界面的友好性、运行性能以及网站的安全性方面是新手与老手之间区别的三个集中点。
    在安全性方面，新手最容易忽略的问题就是SQL注入漏洞的问题。用NBSI 2.0对网上的一些ASP网站稍加扫描，就能发现许多ASP网站存在SQL注入漏洞。
    所谓SQL注入（SQL injection），就是利用程序员对用户输入数据的合法性检测不严或不检测等设计上的漏洞，故意从客户端提交特殊的代码（SQL命令），收集程序及服务器的信息，获取想得到的资料而进行的攻击。
    可见Sql注入攻击得逞的主要原因没有对用户输入的数据进行验证，可以从客户端动态生成Sql命令。
一般的http请求不外乎get 和 post,所以只要我们在程序中过滤所有post或者get请求的参数信息中非法字符，即可实现防范SQL注入攻击。

遗憾的是DW并没有提供相关代码,因此要想防范SQL注入式攻击就需要手工修改，
只要将下面的程序保存为SQLinjection.asp,然后在需要防注入的页面头部调用
<!--#Include File="SQLinjection.asp"-->
就可以做到页面防注入.
如果想整站防注，就在DW生成的Connections目录下的数据库连接文件中添加头部调用或直接添加下面程序代码，需要注意的是，在添加到数据库连接文件中，可能在后台表单添加文章等内容时，如遇到SQL语句系统会误认为SQL攻击而提示出错。

通用程序代码（引自网络做适当更改）如下：
<%
'--------定义部份------------------
dim sql_injdata
SQL_injdata = "'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|1=1|1=2|;"
SQL_inj = split(SQL_Injdata,"|")
'--------POST部份------------------
If Request.QueryString<>"" Then
 For Each SQL_Get In Request.QueryString
  For SQL_Data=0 To Ubound(SQL_inj)
  if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))>0 Then
   Response.Write "<Script Language=JavaScript>alert('系统提示你!/n/n请不要在参数中包含非法字符尝试注入!/n/n');window.location="&"'"&"index.asp"&"'"&";</Script>"
   Response.end
  end if
  next
 Next
End If
'--------GET部份-------------------
If Request.Form<>"" Then
 For Each Sql_Post In Request.Form
 For SQL_Data=0 To Ubound(SQL_inj)
  if instr(Request.Form(Sql_Post),Sql_Inj(Sql_DATA))>0 Then
   Response.Write "<Script Language=JavaScript>

alert('系统提示你!/n/n请不要在参数中包含非法字符尝试注入!/n/n');window.location="&"'"&"index.asp"&"'"&";</Script>"
   Response.end
  end if
  next
  next
end if
%>

 

通过上面的程序，就可以实现抵御从Get方法或Post方法提交的危险SQL注入字符，并警告入侵者后转向到index.asp（首页）。

[上一页] [下一页]  文章共2319字 2000字/页 共2页 当前页[1] 转到： 1 2