修復SQL隱碼攻擊漏洞 兩種方法

之前在網上找到一個線上的網站漏洞掃描工具，叫億思平臺，是一個免費的web安全掃描平臺。反正免費，就測試自己的一個網站，沒想到還真掃描出SQL注入漏洞。但裡面沒有提供自動修復功能，需要自己動手來修復。經過反覆檢視論壇資料，還真讓我找到解決方案。現在給大家分享一下如何修復SQL注入漏洞。

首先，我的網站漏洞是典型的or=or注入漏洞，也屬於比較常見的漏洞。下面是網上的兩種解決方法，其中第二方法有自己本身測試可以的。

方法1: Replace過濾字元
解決方法:查詢login.asp下的
username=request.Form("name")
pass=request.Form("pass")

修改為：
username=Replace(request.Form("name"), "’", "’’")
pass=Replace(request.Form("pass"), "’", "’’")

語法是遮蔽’和’’字元來達到效果.

方法2：在conn.asp 內加入
注：（前提 登陸頁面有）

把以下程式碼儲存為safe.asp

下面是程式程式碼********************************************************
Dim Query_Badword,Form_Badword,i,Err_Message,Err_Web,name
Err_Message = 3
Err_Web = "safe.htm"
’出錯時轉向的頁面

Query_Badword="’|and|select|update|chr|delete|%20from|;|insert|mid|master.|set|chr(37)|="
’在這部份定義get非法引數,使用"|"號間隔

Form_Badword="’|(|)|;|="
’在這部份定義post非法引數,使用"|"號間隔

On Error Resume Next

if request.QueryString<>"" then
Chk_badword=split(Query_Badword,"|")
FOR EACH Query_Name IN Request.QueryString
for i=0 to ubound(Chk_badword)
If Instr(LCase(request.QueryString(Query_Name)),Chk_badword(i))<>0 Then
Select Case Err_Message
Case "1"
Response.Write "
Case "2"
Response.Write "
Case "3"
Response.Write "
End Select
Response.End
End If
NEXT
NEXT
End if
if request.form<>"" then
Chk_badword=split(Form_Badword,"|")
FOR EACH name IN Request.Form
for i=0 to ubound(Chk_badword)
If Instr(LCase(request.form(name)),Chk_badword(i))<>0 Then
Select Case Err_Message
Case "1"
Response.Write "
Case "2"
Response.Write "
Case "3"
Response.Write "
End Select
Response.End
End If
NEXT
NEXT
end if
%>

 

來自 “ ITPUB部落格 ” ，連結：http://blog.itpub.net/25538717/viewspace-689627/，如需轉載，請註明出處，否則將追究法律責任。