编写通用的asp防注入程序 选择自 ph4studio 的 Blog

原创 2005年02月28日 10:56:00
sql注入被那些菜鸟级别的所谓黑客高手玩出了滋味,,发现现在大部分黑客入侵都是基于sql注入实现的
,哎,,谁让这个入门容易呢,好了,,不说废话了,,现在我开始说如果编写通用的sql防注入程序
一般的http请求不外乎 get 和 post,所以只要我们在文件中过滤所有post或者get请求中的参数信息中
非法字符即可,所以我们实现http 请求信息过滤就可以判断是是否受到sql注入攻击。
iis传递给asp.dll的get 请求是是以字符串的形式,,当 传递给Request.QueryString数据后,,
asp解析器会分析Request.QueryString的信息,,然后根据"&",分出各个数组内的数据
所以get的拦截如下
首先我们定义请求中不能包含如下字符
'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare
各个字符用"|"隔开,,然后我们判断的得到的Request.QueryString
具体代码如下
dim sql_injdata
SQL_injdata = "'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare"
SQL_inj = split(SQL_Injdata,"|")

If Request.QueryString<>"" Then
For Each SQL_Get In Request.QueryString
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language=****>alert('天下电影联盟SQL通用防注入系统提示↓nn请不要在参数中包含非法字符尝试注入!');history.back(-1)</Script>"
Response.end
end if
next
Next
End If
这样我们就实现了get请求的注入的拦截,但是我们还要过滤post请求,所以我们还得继续考虑request.form,这个也是以数组形式存在的,,我们只需要再进一次循环判断即可。代码如下
If Request.Form<>"" Then
For Each Sql_Post In Request.Form
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.Form(Sql_Post),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language=****>alert('天下电影联盟SQL通用防注入系统提示↓nn请不要在参数中包含非法字符尝试注入!nnHTTP://www.521movie.com ');history.back(-1)</Script>"
Response.end
end if
next
next
end if
好了大功告成,,我们已经实现了get和post请求的信息拦截,,你只需要在conn.asp之类的打开数据库文件之前引用这个页面即可。放心的继续开发你的程序,,不用再考虑是否还会受到sql注入攻击。难道不是么?

编写通用的asp防注入程序 选择自 ph4studio 的 Blog

sql注入被那些菜鸟级别的所谓黑客高手玩出了滋味,,发现现在大部分黑客入侵都是基于sql注入实现的 ,哎,,谁让这个入门容易呢,好了,,不说废话了,,现在我开始说如果编写通用的sql防注入程序 一般的...
  • hannibal7188616
  • hannibal7188616
  • 2005-02-27 20:59:00
  • 762

SQL通用防注入系统asp版 插一句话漏洞利用

今晚群里朋友叫看个站,有sql防注入,绕不过,但是有发现记录wrong的文件sqlin.asp 既然做了记录,再查看了下它的记录文件 于是想着构造个asp一句话写进去,前面...
  • god_7z1
  • god_7z1
  • 2012-08-14 15:23:29
  • 1440

Sql通用防注入系统3.1β版的跨站漏洞

 Author:lake2 今天帮一个朋友补SQL注射漏洞,但是那个破程序漏洞页面太多,一个一个参数过滤好麻烦,于是我就请出SQL通用防注入程序咯,这里特别感谢作者neeao呵呵,一下就搞定了,帮我省...
  • lake2
  • lake2
  • 2006-01-22 13:09:00
  • 5990

Acesss数据库手工绕过通用代码防注入系统

渗透过程就是各种安全技术的再现过程,本次渗透从SQL注入点的发现到绕过sql注入通用代码的防注入,可以说是打开了一扇门,通过sql注入获取管理员密码,获取数据库,如果在条件允许的情况下是完全可以获取w...
  • wodafa
  • wodafa
  • 2017-05-10 13:27:14
  • 779

防网站漏洞扫描asp代码,也就是防注入的通用代码

把下面的代码保存在公用文件里就可以防止注入扫描了,比方说conn.asp 里,根据多年开发的经验建议将网站后台和前台分离,后台一个conn.asp 前台一个conn.asp 前台conn.asp加如下...
  • wkj001
  • wkj001
  • 2016-11-09 14:29:57
  • 918

放入conn.asp中(拒绝攻击 万能Asp防注入代码)

放入conn.asp中(拒绝攻击 万能Asp防注入代码)放入conn.asp中(拒绝攻击 万能Asp防注入代码)第一种:squery=lcase(Request.ServerVariables("QU...
  • shalfen
  • shalfen
  • 2010-04-22 10:35:00
  • 6556

编写通用的asp防注入程序

sql注入被那些菜鸟级别的所谓黑客高手玩出了滋味,,发现现在大部分黑客入侵都是基于sql注入实现的 ,哎,,谁让这个入门容易呢,好了,,不说废话了,,现在我开始说如果编写通用的sql防注入程序 一般的...
  • lxy_abcde1190
  • lxy_abcde1190
  • 2008-04-18 11:12:00
  • 313

简单实用的SQL通用防注入代码

功能简单说明:1.自动获取页面所有参数,无需手工定义参数名.2.提供三种错误处理方式供选择.   (1).提示信息.  (2).转向页面.  (3).提示信息,再转向页面.3.自定义转向页面.使用方法...
  • weilian000
  • weilian000
  • 2007-07-19 21:11:00
  • 1547

ASP中SQL不完全思路与防注入程序

引:http://blog.csdn.net/oosky2004/SQL注入简介许多网站程序在编写时,没有对用户输入数据的合法性进行判断,使应用程序存在安全隐患。用户可以提交一段数据库查询代码,(一般...
  • feng19821209
  • feng19821209
  • 2005-01-19 22:18:00
  • 1686

防注入系统getwebshell 来自wooyun

这些网站都用的通用防注入系统 有个别网站的目录存在sqlin.asp保存注入记录  可以写入一句话木马 比如http://pzzl.gov.cn/news_type.asp?id=1413 and...
  • cnbird2008
  • cnbird2008
  • 2012-07-06 11:23:58
  • 1776
收藏助手
不良信息举报
您举报文章:编写通用的asp防注入程序 选择自 ph4studio 的 Blog
举报原因:
原因补充:

(最多只允许输入30个字)