游标删除注入代码

游标删除注入代码

DECLARE @fieldtype sysname
SET @fieldtype='varchar'

--删除处理
DECLARE hCForEach CURSOR GLOBAL
FOR
SELECT N'update '+QUOTENAME(o.name)
    +N' set  '+ QUOTENAME(c.name) + N' = replace(' + QUOTENAME(c.name) + ',''<script_src=http://ucmal.com/0.js> </script>'','''')'
FROM sysobjects o,syscolumns c,systypes t
WHERE o.id=c.id
    AND OBJECTPROPERTY(o.id,N'IsUserTable')=1
    AND c.xusertype=t.xusertype
    AND t.name=@fieldtype
EXEC sp_MSforeach_Worker @command1=N'?'

其实他也是这样注入的

--------------------------
新闻： Groove 更名为 SharePoint WorkSpace 2010
网站导航: 博客园首页   新闻   .NET频道   社区   博问   闪存   找找看

转载于:https://www.cnblogs.com/hangzhou-seo/archive/2009/04/25/1458007.html