关于sql注入防范的问题

[freshui]

在form中只替换'
querystring中过滤各种关键词
可以起到防范sql注入的问题不？

[neibu]

Dreamweaver+ASP可视化编程门槛很低，新手很容易上路。在很短的时间里，新手往往就已经能够编出看来比较完美的动态网站，在功能上，老手能做到的，新手也能够做到。那么新手与老手就没区别了吗？这里面区别可就大了，只不过外行人很难一眼就看出来罢了。界面的友好性、运行性能以及网站的安全性方面是新手与老手之间区别的三个集中点。
在安全性方面，新手最容易忽略的问题就是SQL注入漏洞的问题。用NBSI 2.0对网上的一些ASP网站稍加扫描，就能发现许多ASP网站存在SQL注入漏洞。
所谓SQL注入（SQL injection），就是利用程序员对用户输入数据的合法性检测不严或不检测等设计上的漏洞，故意从客户端提交特殊的代码（SQL命令），收集程序及服务器的信息，获取想得到的资料而进行的攻击。
可见Sql注入攻击得逞的主要原因没有对用户输入的数据进行验证，可以从客户端动态生成Sql命令。
一般的http请求不外乎get 和 post,所以只要我们在程序中过滤所有post或者get请求的参数信息中非法字符，即可实现防范SQL注入攻击。


遗憾的是DW并没有提供相关代码,因此要想防范SQL注入式攻击就需要手工修改，
只要将下面的程序保存为SQLinjection.asp,然后在需要防注入的页面头部调用
<!--#Include File="SQLinjection.asp"-->
就可以做到页面防注入.
如果想整站防注，就在DW生成的Connections目录下的数据库连接文件中添加头部调用或直接添加下面程序代码，需要注意的是，在添加到数据库连接文件中，可能在后台表单添加文章等内容时，如遇到SQL语句系统会误认为SQL攻击而提示出错。

通用程序代码（引自网络做适当更改）如下：
<%
'--------定义部份------------------
dim sql_injdata
SQL_injdata = "'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|1=1|1=2|;"
SQL_inj = split(SQL_Injdata,"|")
'--------POST部份------------------
If Request.QueryString<>"" Then
For Each SQL_Get In Request.QueryString
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language=JavaScript>alert('系统提示你!\n\n请不要在参数中包含非法字符尝试注入!\n\n');window.location="&"'"&"index.asp"&"'"&";</Script>"
Response.end
end if
next
Next
End If
'--------GET部份-------------------
If Request.Form<>"" Then
For Each Sql_Post In Request.Form
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.Form(Sql_Post),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language=JavaScript>alert('系统提示你!\n\n请不要在参数中包含非法字符尝试注入!\n\n');window.location="&"'"&"index.asp"&"'"&";</Script>"
Response.end
end if
next
next
end if
%>

通过上面的程序，就可以实现抵御从Get方法或Post方法提交的危险SQL注入字符，并警告入侵者后转向到index.asp（首页）。

[freshui]

由于and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|1=1
这些字符串在页面的form表中很普遍，如果禁止输入，则系统根本无法运作
所以不能禁止

感觉上form提交的表单，也就是一个插入数据的过程
如果只是过滤一个'好的话，应该是可以的

[neibu]

没有这些只是禁止form传过来的值里不能包含and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|1=这些而已

[freshui]

如果不能包含这些关键字，那么别人就无法提交工作了！
应为页面的工作环境是英文的，随便一段英文都会包含and的吧～
如果这样要写额外的处理函数，工作量挺大的

我现在只想知道，如果在form中仅仅拦截 ' 字符会不会得到防sql注入的功能？
如果不能的话，谁能给我一个反例？？

[cueixu1]

把'转换成''
如果是类似disp的文件。要把参数做一下数值类型校验。
就OK
动网就是这样的校验，百病不犯，药到病除。。
虽然影响效率，如果是属于数据插入修改类型，还是建议使用RS对象来做。这样能够大大提高程序的可调试性与可修改性。

[远方]

　　许多网站程序在编写时，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码（一般是在浏览器地址栏进行,通过正常的www端口访问），根据程序返回的结果，获得某些想得知的数据，这就是所谓的SQL Injection，即SQL注入。
　　网站的恶梦——SQL注入

　　SQL注入通过网页对网站数据库进行修改。它能够直接在数据库中添加具有管理员权限的用户，从而最终获得系统管理员权限。黑客可以利用获得的管理员权限任意获得网站上的文件或者在网页上加挂木马和各种恶意程序，对网站和访问该网站的网友都带来巨大危害。

　　防御SQL注入有妙法

　　第一步：很多新手从网上下载SQL通用防注入系统的程序，在需要防范注入的页面头部用 来防止别人进行手动注入测试




可是如果通过SQL注入分析器就可轻松跳过防注入系统并自动分析其注入点。然后只需要几分钟，你的管理员账号及密码就会被分析出来。







图三
第二步：对于注入分析器的防范，笔者通过实验，发现了一种简单有效的防范方法。首先我们要知道SQL注入分析器是如何工作的。在操作过程中，发现软件并不是冲着“admin”管理员账号去的，而是冲着权限（如flag=1）去的。这样一来，无论你的管理员账号怎么变都无法逃过检测。

　　第三步：既然无法逃过检测，那我们就做两个账号，一个是普通的管理员账号，一个是防止注入的账号，为什么这么说呢？笔者想，如果找一个权限最大的账号制造假象，吸引软件的检测，而这个账号里的内容是大于千字以上的中文字符，就会迫使软件对这个账号进行分析的时候进入全负荷状态甚至资源耗尽而死机。下面我们就来修改数据库吧。

　　1.对表结构进行修改。将管理员的账号字段的数据类型进行修改，文本型改成最大字段255（其实也够了，如果还想做得再大点，可以选择备注型），密码的字段也进行相同设置。

　　2.对表进行修改。设置管理员权限的账号放在ID1，并输入大量中文字符（最好大于100个字）。

　　3.把真正的管理员密码放在ID2后的任何一个位置（如放在ID549上）。

　　我们通过上面的三步完成了对数据库的修改。

　　这时是不是修改结束了呢？其实不然，要明白你做的ID1账号其实也是真正有权限的账号，现在计算机处理速度那么快，要是遇上个一定要将它算出来的软件，这也是不安全的。我想这时大多数人已经想到了办法，对，只要在管理员登录的页面文件中写入字符限制就行了！就算对方使用这个有上千字符的账号密码也会被挡住的，而真正的密码则可以不受限制。

[文盲老顾]

mark