修复SQL注入漏洞的两种方法

24小时关键词上百度首页点此查看详情
之前在网上找到一个在线的网站漏洞扫描工具,叫亿思平台,是一个免费的web安全扫描平台。反正免费,就测试自己的一个网站,没想到还真扫描出SQL注入漏洞。但里面没有提供自动修复功能,需要自己动手来修复。经过反复查看论坛资料,还真让主营万词霸屏和竞价包年的上海网络推广公司厉雷网络找到解决方案。现在给大家分享一下如何修复SQL注入漏洞。
 
首先,我的网站漏洞是典型的or=or注入漏洞,也属于比较常见的漏洞。下面是网上的两种解决方法,其中第二方法有自己本身测试可以的。
 
 
方法1: Replace过滤字符
解决方法:查找login.asp下的
username=request.Form("name")
pass=request.Form("pass")
 
修改为:
username=Replace(request.Form("name"), "’", "’’")
pass=Replace(request.Form("pass"), "’", "’’")
 
语法是屏蔽’和’’字符来达到效果.
 
方法2:在conn.asp 内加入 
注:(前提 登陆页面有)
 
把以下代码保存为safe.asp
 
下面是程序代码********************************************************
<%
Dim Query_Badword,Form_Badword,i,Err_Message,Err_Web,name
Err_Message = 3
Err_Web = "safe.htm"
’出错时转向的页面
 
Query_Badword="’|and|select|update|chr|delete|%20from|;|insert|mid|master.|set|chr(37)|="
’在这部份定义get非法参数,使用"|"号间隔
 
Form_Badword="’|(|)|;|="
’在这部份定义post非法参数,使用"|"号间隔
 
On Error Resume Next
 
if request.QueryString<>"" then
Chk_badword=split(Query_Badword,"|")
FOR EACH Query_Name IN Request.QueryString
for i=0 to ubound(Chk_badword)
If Instr(LCase(request.QueryString(Query_Name)),Chk_badword(i))<>0 Then
Select Case Err_Message
Case "1"
Response.Write " 
Case "2"
Response.Write " 
Case "3"
Response.Write " 
End Select
Response.End
End If
NEXT
NEXT
End if
if request.form<>"" then
Chk_badword=split(Form_Badword,"|")
FOR EACH name IN Request.Form
for i=0 to ubound(Chk_badword)
If Instr(LCase(request.form(name)),Chk_badword(i))<>0 Then
Select Case Err_Message
Case "1"
Response.Write " 
Case "2"
Response.Write " 
Case "3"
Response.Write " 
End Select
Response.End
End If
NEXT
NEXT
end if
%>

欢迎转载,本文标题:《修复SQL注入漏洞的两种方法》,转载请注明原文网址:http://www.13076758023.cn/anquan/20190316/628.html
请尊重我们的辛苦付出,未经允许,请不要转载上海网络推广公司厉雷网络的文章!
上一篇:ASP网站如何防止注入漏洞攻击
下一篇:网站漏洞检测之用户密码找回网站漏洞的安全分