execute()函数可以执行任意ASP代码

[zfh198601]

我用一个木马查我的网站,它提示几个页面中有这样的问题,怎么办?

代码:

str_sql="EXECUTE cpb_proc_backup_db @backup_db_name='"&fdf&"',@filename='"&ba&"'"

[koadxa]

·双线主机 100M/35元/年,免费送数据库(自选MY/MSSQL)
·详情请访问：http://www.515dns.com

[shenzhenNBA]

[Quote=引用楼主 zfh198601 的帖子:]
我用一个木马查我的网站,它提示几个页面中有这样的问题,怎么办?

代码:

str_sql="EXECUTE cpb_proc_backup_db @backup_db_name='"&fdf&"',@filename='"&ba&"'"
[/Quote]

EXECUTE 会执行存储过程， ！！

[zfh198601]

[Quote=引用 2 楼 shenzhenNBA 的回复:]
引用楼主 zfh198601 的帖子:
我用一个木马查我的网站,它提示几个页面中有这样的问题,怎么办?

代码:

str_sql="EXECUTE cpb_proc_backup_db @backup_db_name='"&fdf&"',@filename='"&ba&"'"


EXECUTE 会执行存储过程， ！！
[/Quote]


怎么把风险降低啊.

[suano]

这个应该主要是没做防注入漏洞吧，解决的方法就是用一个字符串过滤函数对输入字符过滤，比如fdf=removestr(request("fdf")),然后再把fdf传给SQ语句，字符串过滤函数网上很多

[wcwtitxu]

Dim cmm
Set cmm = CreateObject("ADODB.Command")
Set cmm.ActiveConnection = conn
cmm.CommandType = 4
cmm.CommandText = "cpb_proc_backup_db"
cmm.Parameters.Append cmm.CreateParameter("backup_db_name", 200, 1, Len(fdf), fdf)
cmm.Parameters.Append cmm.CreateParameter("filename", 200, 1, Len(ba), ba)
cmm.Execute
Set cmm = Nothing