高手帮我看看这两段asp会不会被sql注入

[胡摩西]

1
<%
try
{
var strNumber=Request("textNumber")(1);
var strNumber =strNumber.substring(0,7);
var conn=Server.CreateObject("ADODB.Connection");
conn.Open("driver={Microsoft Access Driver (*.mdb)};dbq="+Server.MapPath("AllItem.mdb"));
rs=conn.Execute("select * from NBTable where 号码="+strNumber);
if(!rs.eof)
if(rs(2).value!=rs(3).value)
{
Response.Write(rs(2)+"省"+rs(3)+"市"+rs(6)+"用户 "+"区号:0"+rs(4));
}
else
{
Response.Write(rs(3)+"市"+rs(6)+"用户 "+"区号："+rs(4));
}
else
Response.Write("这个号码很有可能来自火星，数据库暂无记录");
conn.Close();
}
catch(e)
{
}

%>
、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、

2
<%@ Language=Jscript %>
<%
function GetPrice(ItemId)
{
var conn=Server.CreateObject("ADODB.Connection");
conn.Open("driver={Microsoft Access Driver (*.mdb)};dbq="+Server.MapPath("/Price.mdb"));
rs=conn.Execute("select * from AnyCallTable where ItemId='"+ItemId+"'");
if(!rs.eof)
Response.Write(rs(2));
conn.Close();
}
%>

调用。。。
<%GetPrice("G808")%>
、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、、

高手帮我分析下

[gxq323]

火星代码

[006因特达]

可能性不大，
不过觉得
var strNumber=Request("textNumber")(1);
再优化一下更好。

[hookee]

都是sql字符串拼接的，没有处理，可以注入
rs=conn.Execute("select * from AnyCallTable where ItemId='"+ItemId+"'");
Item="' or 1=1;其他sql语句;select 'x" 的话，会执行
select * from AnyCallTable where ItemId='' or 1=1;其他sql语句;select 'x'

[Jearol]

同意楼上

[三楼の郎]

[Quote=引用 3 楼 hookee 的回复:]
都是sql字符串拼接的，没有处理，可以注入
rs=conn.Execute("select * from AnyCallTable where ItemId='"+ItemId+"'");
Item="' or 1=1;其他sql语句;select 'x" 的话，会执行
select * from AnyCallTable where ItemId='' or 1=1;其他sql语句;select 'x'
[/Quote]
不会被注入，Access库不是SQL Server，不能同时执行多条SQL语句。

[006因特达]

<%GetPrice("G808")%>
注入是要通过Request的

[胡摩西]

[Quote=引用 3 楼 hookee 的回复:]
都是sql字符串拼接的，没有处理，可以注入
rs=conn.Execute("select * from AnyCallTable where ItemId='"+ItemId+"'");
Item="' or 1=1;其他sql语句;select 'x" 的话，会执行
select * from AnyCallTable where ItemId='' or 1=1;其他sql语句;select 'x'


[/Quote]
这段代码<%GetPrice("G808")%> 是嵌在ASP上面的，浏览器没有传任何参数到服务器，这样也有注入风险？


第一个asp有客户端传参数到服务器，但是只有查询，没有写入，不知道这样有没有风险？

[hookee]

没有传任何参数到服务器就没关系了

[胡摩西]

[Quote=引用 8 楼 hookee 的回复:]
没有传任何参数到服务器就没关系了
[/Quote]
try
{
var strNumber=Request("textNumber")(1);
var strNumber =strNumber.substring(0,7);
var conn=Server.CreateObject("ADODB.Connection");
conn.Open("driver={Microsoft Access Driver (*.mdb)};dbq="+Server.MapPath("AllItem.mdb"));
rs=conn.Execute("select * from NBTable where 号码="+strNumber);
if(!rs.eof)
if(rs(2).value!=rs(3).value)
{
Response.Write(rs(2)+"省"+rs(3)+"市"+rs(6)+"用户 "+"区号:0"+rs(4));
}
else
{
Response.Write(rs(3)+"市"+rs(6)+"用户 "+"区号："+rs(4));
}
else
Response.Write("这个号码很有可能来自火星，数据库暂无记录");
conn.Close();
}
catch(e)
{
}

%> 谢谢
帮我分析下这段呢，这段有查询 没写入语句

[hookee]

要看怎么理解了，只是注入的话和select insert之类的无关，
可以可能通过类似
select * from NBTable where 号码=1 or exists(select * from NBTable)
得到一些限制访问的数据。
假设取得管理帐号密码的话就可进行进一步操作了。
access的话可看一下 http://hi.baidu.com/happy8d/blog/item/ec78c2f979b6b35d242df27d.html