ASP型站防SQL注入方法集合(页 1) - 网站安全 - 拓风社区

丁宇聪 发表于 2008-7-8 11:10

ASP型站防SQL注入方法集合

1.代码类型：过滤字符：[例：在用户登陆表单中过滤"]
            <%
            ......
            uname=checksafe(request("uname"))
            pword=checksafe(request("pword"))
            sql="select*from login where username='"&uname&"'and
            password='"%pword&"'"
            set rs=conn.execute(sql)
            ......%>

      防%20and%201=1 类型探测：
            function checksafe (str)
               if str<>""then
                  checkid=replacd(str,"'","''")
                  checkid=str
               else
                  response.write("用户名和密码不能为空或者想说什么")
               end if
               end function

      过滤非法字符：
               <%
                                 str=LCase(str)
                                 if lnstr(str,"select%20")or lnstr(str,"inser20)                            or                lnstr(str,"delete%20from") or lnstr(str,......类似
               ....过滤内容可以包括：count(") drop update ttuncate                asc(") mid char(") xp_cmdshell exec net localgroup                administrators  :  net user "'" %20
               结尾语句：  then
               Response.Write"入侵网站是违法的或者想说什么"
               End if
               %>

         字符长度检测过滤：
               Name=replace(anme,"'","")
                                 if len(name)>13 then
                                 Response.write " 用户名输入有误!"
                                 Response.end
                                 End if

         过滤ID=类型攻击：
               <%
                                 dim str
                                 str=request("id")
                                 if isnumeric(str)=0 or str=""then
                                 Response.write " 输入错误，请重试!"
                                 Response.end
                                 end if
                                 %>

2.简单类型：下载软件 SQL通用防注入程序 V2.0
      下载地址 [url]http://www.tiansha.net/down/soft/1139.htm[/url]
      使用方法解压后获得2个软件： WrSky_Sql.Asp 和 Sqlln.mdb
               在需要防注入的页面头部添加代码：
               
               整站防注入就讲WrSky_Sql.Asp 中的代码复制到数据库连接
               文件里面去如：conn.asp
               用记事本打开WrSky_Sql.Asp找到Fy_ln="枫****的代码语句
               把要过滤的字符串插入该语句中，用"枫"进行分隔。

3.后备程序：加密数据库
         在动网论坛源程序文件中有一个MD5.ASP的文件。复制到自己的网          页源程序文件夹中，在网页登陆页面源程序文件头部加入代码：
         
         最后找到所有操作数据库的语句，将其中获取用户名输入变量的语          句如request("usrename")等换为md5(request("username"))

         防数据库爆破
         在数据库连接文件conn.asp里加入
         “On Error Resume Next”
         若用MD5加密就把conn.asp修改数据库访问语句为：
         “conn.open"driver={MicrosoftAccessDriver(*.MDB)};UID=ADMIN;PWD=数据库密码；dbq="dbpath”

         防管理员页面的注入攻击：
         在用户登陆页面设计一个Sessin,当用户登陆页面源程序文件用户          名和密码进行验证后，加入代码：
         <%
                     If Not Session("Passed")Then
                        Response.Redirect"Login.asp"
                        End if
                     %>

lhylove 发表于 2008-7-8 15:48

又学到了知识

在当今流行于SQL注入的时候,初学者总是无法保护自己网站的安全,包括我自己,今天在这里看到了这个帖子,可谓是又学到了一些知识, 感谢楼主分享.:hug: :handshake :hug:
同时想问一个问题,我今天申请了的虚拟主机,要什么时候才能开通,
服务器IP: 210.51.15.5 (lhylove.142.toforweb.com)
用户名: lhylove

请帮忙审核.谢谢!

丁宇聪 发表于 2008-7-14 08:58

一般3天内最长不超过一周请耐心等待我们的工作人员审核

fuzhuang3 发表于 2008-11-19 09:29

虚拟现实

　[url=http://www.1max.com.cn/][b]虚拟现实[/b][/url]，也称虚拟实境或灵境，是一种可以创建和体验虚拟世界的计算机系统，它利用计算机技术生成一个逼真的、具有视、听、触等多种感知的虚拟环境，用户通过使用各种交互设备，同虚拟环境中的实体相互作用，使之产生身临其境感觉的交互式视景仿真和信息交流，是一种先进的数字化人机接口技术。与传统的模拟技术相比，其主要特征是：操作者能够真正进入一个由计算机生成的交互式三维虚拟环境中，与之产生互动，进行交流。通过参与者与仿真环境的相互作用，并借助人本身对所接触事物的感知和认知能力，帮助启发参与者的思维，以全方位地获取虚拟环境所蕴涵的各种空间信息和逻辑信息。沉浸/临场感和实时
　　交互性是[url=http://www.1max.com.cn/][b]虚拟现实[/b][/url]的实质性特征，对时空环境的现实构想（即启发思维，获取信息的过程）是虚拟现实的最终目的。自从虚拟现实技术诞生以来，它已经在军事模拟、先进制造、城市规划/地理信息系统、医学生物等领域中显示出巨大的经济、军事和社会效益，与网络、多媒体并称为21世纪最具应用前景的三大技术。
　　[url=http://www.1max.com.cn/][b]虚拟现实[/b][/url](Virtual Reality，简称VR;又译作灵境、幻真)是近年来出现的高新技术，也称灵境技术或人工环境。虚拟现实是利用电脑模拟产生一个三度空间的虚拟世界，提供使用者关于视觉、听觉、触觉等感官的模拟，让使用者如同身历其境一般，可以及时、没有限制地观察三度空间内的事物。
　　VR是一项综合集成技术，涉及计算机图形学、人机交互技术、传感技术、人工智能等领域，它用计算机生成逼真的三维视、听、嗅觉等感觉，使人作为参与者通过适当装置，自然地对虚拟世界进行体验和交互作用。使用者进行位置移动时，电脑可以立即进行复杂的运算，将精确的3D世界影像传回产生临场感。该技术集成了计算机图形(CG)技术、计算机仿真技术、人工智能、传感技术、显示技术、网络并行处理等技术的最新发展成果，是一种由计算机技术辅助生成的高技术模拟系统。
　　概括地说，[url=http://www.1max.com.cn/][b]虚拟现实[/b][/url]是人们通过计算机对复杂数据进行可视化操作与交互的一种全新方式，与传统的人机界面以及流行的视窗操作相比，虚拟现实在技术思想上有了质的飞跃。
　　[url=http://www.1max.com.cn/][b]虚拟现实[/b][/url]中的“现实”是泛指在物理意义上或功能意义上存在于世界上的任何事物或环境，它可以是实际上可实现的，也可以是实际上难以实现的或根本无法实现的。而“虚拟”是指用计算机生成的意思。因此，虚拟现实是指用计算机生成的一种特殊环境，人可以通过使用各种特殊装置将自己“投射”到这个环境中，并操作、控制环境，实现特殊的目的，即人是这种环境的主宰。

hnzbjq032 发表于 2008-11-20 04:57

一个女孩子的第一次开房经历A12

一个女大学生很彪悍的说：我就是喜欢做小三
真是不明白，女大学生怎么啦？她们也是人，女大学生就不能做小三吗？

我是女大学生，我就喜欢做小三，没人逼我。我喜欢成熟稳重的男人，有错吗？喜欢有钱的、做官的男人有错吗？喜欢别人宠着，爱着有错吗？喜欢别人在我身上花钱有错吗？

河南矿山机械厂专业生产
[url=http://www.yaqiuji.net/zhifenji_雷蒙磨.html]雷蒙磨[/url]
[url=http://www.yaqiuji.net/]破碎机[/url]
[url=http://www.yaqiuji.net/posuiji.html]破碎机价格[/url]
[url=http://www.yaqiuji.net/]破石机[/url]
[url=http://www.yaqiuji.net/xuankuangshebei_球磨机.html]球磨机[/url]
欢迎来电咨询,来人来厂参观考察![img=523,376]http://www.yaqiuji.net/CP/001.jpg[/img]
河南矿山机械厂
电话:0371-66073145/66073146
手机:13949087927
http://www.yaqiuji.net

页: [1]

拓风社区's Archiver