[向sp1234老大及各位达人提问]关于网站安全的疑惑（我真是菜鸟）

[hanyucq123]

在网上找了很多网站安全类的文章来看，各说各家话，把我搞混了，不知怎么信了。比如，有说用存储过程，就不会被注入，因为存储过程会把注入非法命令当成字串来处理,所以就不用进行关键字过滤了，但最近在MSDN上看到一遍文章，说用存储过程如果不过滤或进行其他处理一样会被注入。（地址是：http://msdn.microsoft.com/zh-cn/library/ms161953(SQL.90).aspx）。以前也在CSDN上问过好几次这种问题，当都是各说各的，因为我基础比较差，所以向请教一下sp1234老大哥及各种没被注入过的达人，请问你们平时都是怎样做安全的？网站的代码安全，除了被注入之外，还会有其他因为代码引起的安全问题吗？
希望能给详细说说

[dl_wang]

关注

[白s菜]

如果存储过程里用的SQL 拼接也一样有危险
少用SQL拼接 实在要拼接那只能过滤了

[hanyucq123]

自己顶

[编程有钱人了]

哎

[gang027]

[Quote=引用 2 楼 jcgh1985 的回复:]
如果存储过程里用的SQL 拼接也一样有危险
少用SQL拼接 实在要拼接那只能过滤了
[/Quote]

up

[feifeiyiwen]

up

[wuyq11]

物理路径泄露
目录遍历
缓冲区溢出
CGI漏洞

[walkghost]

我是来mark学习的。

[luoyinshuang]

我也来学习，这东西一直没弄清楚.

[wujinjian2008n]

学习

[陌上花花]

帮顶学习

[hanyucq123]

看来好多人都没大弄明白，高手呀，在哪哟

[JUST_DO_IT----adiaos]

多用参数少用或不用拼接字串,如:

执行
select * from user where uid=@uid and pwd=@pwd

参数
SqlParameter[] parms ={
new SqlParameter("@uid",SqlDbType.VarChar,50),
new SqlParameter("@pwd",SqlDbType.VarChar,50)};

parms[0].Value = jadier;
parms[1].Value = guess;

传入SqlCommand
cmd.Parameters=parms;

cmd.ExecuteScalar();

除了这个SQL注入问题,还有脚本注入问题(Server.HtmlEncode编码可解决)

注意上传文件类型判断(如嘿客上传.asp挂马文件)

注意网站目录写入权限(如非上传文件夹和非数据库文件夹可不开写入权限)

注意上传文件夹的脚本执行权限(如果上传的全是图片可关闭脚本执行权限)

其它不知道的望各位继续

[hanyucq123]

顶起不要沉

[mb_1985]

[Quote=引用 7 楼 wuyq11 的回复:]
物理路径泄露
目录遍历
缓冲区溢出
CGI漏洞
[/Quote]
学习，老大能不能提供资料以供学习？3Q

[hanyucq123]

再顶

[pzlin]

强贴留名