关于asp网站的安全问题

[volkswageos]

我在维护别人做的一个asp网站，最近老是被修改了数据库的内容，老多乱码在网页上面显示，我现在惟一的办法就是恢复数据库，现在不知道怎么解决啊？
有没有什么好的建议，我用工具说是读新闻的网页可能存在漏洞啊？

[in0512]

一般的都是SQL注入漏洞造成的

查看代码是否有过滤,查看上传文件时有漏洞没

最快的办法是加一段SQL防注入的代码,网上多的是

[loveinet_168]

顶上。。。

[三楼の郎]

如果你不知道怎么安全的拼接SQL字符串，那就用参数化的方式来访问数据库啦，可参考我的http://blog.csdn.net/CityBird/archive/2008/12/25/3599720.aspx这篇文章

[li1229363]

只要是SQl注入，就会存在'和；实际上过滤这两个就OK了。如果为了安全，你把select、udate、delete、insert into等等也屏蔽掉也可以

[三楼の郎]

[Quote=引用 8 楼 li1229363 的回复:]
只要是SQl注入，就会存在'和；实际上过滤这两个就OK了。如果为了安全，你把select、udate、delete、insert into等等也屏蔽掉也可以
[/Quote]
不见得
"select * from news where id=1 drop table news"
就既没有'也没有;照样被攻击

[黑心]

发个函数(日防夜防，想防都防不了。)

function GetVariable(strVariableName)
if IsEmpty(Request(strVariableName)) then
GetVariable=empty
exit Function
end if
GetVariable=Replace(Request(strVariableName),"'","''")
GetVariable=Replace(GetVariable,";","")
GetVariable=trim(Replace(GetVariable,"--",""))
end function

[volkswageos]

我加了，是加在连接数据的那块了，但是还是中招，不知道怎么办才好

[三楼の郎]

SQL防注入代码垃圾得很，应应急可以，根本之道还是去查代码

[volkswageos]

什么样的代码应该是安全的啊，关键是不知道怎么入侵的啊，我用一个软件测了一下，发现就是读新闻的那个网页有毛病，但是不知道怎么能够安全一点

[number123456]

id = replace(request("id"),"'","''")
换成这种方式来获得参数

[volkswageos]

真是郁闷，现在又开始受到arp攻击，频繁掉线

[chinabh]

个人心得：http://www.bhcode.net/article/20090831/5510.html

[volkswageos]

现在知道arp攻击的电脑的mac地址怎么样能够知道该地址所用的ip啊？
或是通过什么工具知道计算机名 反正就是能够知道用户是谁的方法啊？