SQL注入该怎么屏蔽

[chenda8851]

嵌入反注入程序
id=cstr(request.QueryString("id"))
Set rsnews=Server.CreateObject("ADODB.RecordSet")
'sql="update news set hits=hits+1 where id="&cstr(request("id"))
'conn.execute sql
sql="select * from news where id="&id
rsnews.Open sql,conn,1,1
title=rsnews("title")
if rsnews.eof and rsnews.bof then
response.Write("数据库出错")
else
...
end if

我都用网上相关的反注入了,可程序还是有漏洞,还是被叫做什么"一流信息监控拦截系统"给拦截了.
请问如果我想改善程序,使程序完善该怎么做

[postcode]

mark

[cestar2005]

防注入一般注意下
1 信息可以加密处理(des md5)

2 过滤非法字符(像'号或delect update)

3 使用ado对像处理插入修改等数据库操作
http://www.patching.net/bbs/viewgooddoc.asp?id=36104&bordid=18¤tpage=2

[WeekZero]

http://weekzero.cnblogs.com/archive/2005/12/19/300208.html

[wj021chen]

大家说Neeao这个防注入系统怎样?它可以记录IP地址.我是用这个.
这个还有什么漏洞吗?

[qingfengloveye]

function sqlchg(key)
if instr(key,"'") or instr(key,"script") or instr(key,"chr") or instr(key,";") or instr(key,"<") or instr(key,">") or instr(key,"#") then
response.Write("<script language='javascript'>window.location.href='error.asp?errorMsg=请不要输入非法字符"&chr(34)&key&chr(34)&"';</script>")
response.End()
end if
sqlchg=key
end function

function sqlcheck(key)
if not isnumeric(key) then
response.Write("<script language='javascript'>window.location.href='error.asp?errorMsg=传递非数字型参数出错';</script>")
response.End()
end if
sqlcheck=key
end function

一个是判断传递的数字型的，一个是判断传递文本型
基本上就没有什么问题了