DW中sql注入式攻击的防范

转载 2006年05月24日 13:09:00
Dreamweaver+ASP可视化编程门槛很低,新手很容易上路。在很短的时间里,新手往往就已经能够编出看来比较完美的动态网站,在功能上,老手能做到的,新手也能够做到。那么新手与老手就没区别了吗?这里面区别可就大了,只不过外行人很难一眼就看出来罢了。界面的友好性、运行性能以及网站的安全性方面是新手与老手之间区别的三个集中点。
    在安全性方面,新手最容易忽略的问题就是SQL注入漏洞的问题。用NBSI 2.0对网上的一些ASP网站稍加扫描,就能发现许多ASP网站存在SQL注入漏洞。
    所谓SQL注入(SQL injection),就是利用程序员对用户输入数据的合法性检测不严或不检测等设计上的漏洞,故意从客户端提交特殊的代码(SQL命令),收集程序及服务器的信息,获取想得到的资料而进行的攻击。
    可见Sql注入攻击得逞的主要原因没有对用户输入的数据进行验证,可以从客户端动态生成Sql命令。
一般的http请求不外乎get 和 post,所以只要我们在程序中过滤所有post或者get请求的参数信息中非法字符,即可实现防范SQL注入攻击。

遗憾的是DW并没有提供相关代码,因此要想防范SQL注入式攻击就需要手工修改,
只要将下面的程序保存为SQLinjection.asp,然后在需要防注入的页面头部调用
<!--#Include File="SQLinjection.asp"-->
就可以做到页面防注入.
如果想整站防注,就在DW生成的Connections目录下的数据库连接文件中添加头部调用或直接添加下面程序代码,需要注意的是,在添加到数据库连接文件中,可能在后台表单添加文章等内容时,如遇到SQL语句系统会误认为SQL攻击而提示出错。

通用程序代码(引自网络做适当更改)如下:
<%
'--------定义部份------------------
dim sql_injdata
SQL_injdata = "'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|1=1|1=2|;"
SQL_inj = split(SQL_Injdata,"|")
'--------POST部份------------------
If Request.QueryString<>"" Then
 For Each SQL_Get In Request.QueryString
  For SQL_Data=0 To Ubound(SQL_inj)
  if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))>0 Then
   Response.Write "<Script Language=JavaScript>alert('系统提示你!/n/n请不要在参数中包含非法字符尝试注入!/n/n');window.location="&"'"&"index.asp"&"'"&";</Script>"
   Response.end
  end if
  next
 Next
End If
'--------GET部份-------------------
If Request.Form<>"" Then
 For Each Sql_Post In Request.Form
 For SQL_Data=0 To Ubound(SQL_inj)
  if instr(Request.Form(Sql_Post),Sql_Inj(Sql_DATA))>0 Then
   Response.Write "<Script Language=JavaScript>
alert('系统提示你!/n/n请不要在参数中包含非法字符尝试注入!/n/n');window.location="&"'"&"index.asp"&"'"&";</Script>"
   Response.end
  end if
  next
  next
end if
%>
 通过上面的程序,就可以实现抵御从Get方法或Post方法提交的危险SQL注入字符,并警告入侵者后转向到index.asp(首页)。

什么叫做SQL注入式攻击,如何防范?

所谓SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串中,欺骗服务器执行恶意的SQL命令。在某些表单中,用户输入的内容直接用来构造(或者影响)动态SQL命令,或作为...
  • hellochenlu
  • hellochenlu
  • 2016年08月13日 17:04
  • 925

如何防止SQL注入攻击

如何防止SQL注入攻击            一、什么是SQL注入式攻击?   所谓SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串,欺骗服务器执行...
  • shenxiuwen1989
  • shenxiuwen1989
  • 2015年03月12日 17:32
  • 1231

SQL注入攻击的原理与防范

7      然后点击工具栏中的开始按钮开始自动检测 SQL 注入漏洞情况。从检测结果中可以看到, 该网站的 SQL 注入类型为“ Integer (字符型) ” ,后台数据库类型为...
  • langjian2012
  • langjian2012
  • 2014年10月19日 11:05
  • 990

SQL注入攻击与防御

什么是SQL注入 程序员在编写代码的时候,没有对用户输入数据的合法性进行判断,使应用程序存在安全隐患。攻击者可以提交一段精心构造的数据库查询代码,根据返回的结果,获得某些他想得知的数据,这就是所谓的...
  • SkySuperWL
  • SkySuperWL
  • 2016年08月08日 21:41
  • 3104

SQL的注入式攻击方式和避免方法

出处:http://www.cnblogs.com/xyd21c/archive/2010/12/09/1901140.html感谢分享 SQL 注入是一种攻击方式,在这种攻击方式中,恶意代...
  • nawuyao
  • nawuyao
  • 2016年09月18日 09:34
  • 2954

简单的sql注入式攻击 教程(小白 )

SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串,欺骗服务器执行恶意的SQL命令。 以下是整理网上教程所得出的,如有误,非常感谢指出...
  • qq_34817273
  • qq_34817273
  • 2017年04月30日 01:20
  • 913

Web站点如何防范XSS、CSRF、SQL注入攻击

XSS跨站脚本攻击XSS跨站脚本攻击指攻击者在网页中嵌入客户端脚本(例如JavaScript),当用户浏览此网页时,脚本就会在用户的浏览器上执行,从而达到攻击者的目的,比如获取用户的Cookie,导航...
  • haoaiqian
  • haoaiqian
  • 2017年05月29日 21:13
  • 668

SQL注入的一般步骤及防范方法

在入门篇,我们学会了SQL注入的判断方法,但真正要拿到网站的保密内容,是远远不够的。接下来,我们就继续学习如何从数据库中获取想要获得的内容,首先,我们先看看SQL注入的一般步骤: 第一节、SQL...
  • longtingjing
  • longtingjing
  • 2015年07月14日 12:37
  • 2643

SQL注入攻击原理以及基本方法

一、SQL注入的概述 定义:SQL注入即是指web应用程序对用户输入数据的合法性没有判断,攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句,以此来实现欺骗数据库服务器执行非...
  • qq_34858648
  • qq_34858648
  • 2016年10月07日 16:09
  • 22115

防范Sql注入式攻击

Sql注入式攻击是指利用设计上的漏洞,在目标服务器上运行Sql 命令以及进行其他方式的攻击 动态生成Sql命令时没有对用户输入的数据进行验证是Sql注入攻击得逞的主要原因 比如一个在线书店,可以...
  • oMingZi12345678
  • oMingZi12345678
  • 2013年06月07日 11:32
  • 901
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:DW中sql注入式攻击的防范
举报原因:
原因补充:

(最多只允许输入30个字)