防范SQL注入攻击的代码

时间:2006-02-27 00:00 来源:网管之家bitsCN.com 字体:[大 中 小] 评论:

标签：SQL注入

SQL注入式攻击是利用是指利用设计上的漏洞，在目标服务器上运行Sql命令以及进行其他方式的攻击，动态生成Sql命令时没有对用户输入的数据进行验证是Sql注入攻击得逞的主要原因。比如：

　　如果你的查询语句是select * from admin where username='"&user&"' and password='"&pwd&"'"

　　那么，如果我的用户名是：1' or '1'='1

　　那么，你的查询语句将会变成：

select * from admin where username='1 or '1'='1' and password='"&pwd&"'"

　　这样你的查询语句就通过了，从而就可以进入你的管理界面。

　　所以防范的时候需要对用户的输入进行检查。特别式一些特殊字符，比如单引号，双引号，分号，逗号，冒号，连接号等进行转换或者过滤。

　　需要过滤的特殊字符及字符串有：

 net user
 xp_cmdshell
 /add
 exec master.dbo.xp_cmdshell
 net localgroup administrators
 select
 count
 Asc
 char
 mid
 '
 :
 "
 insert
 delete from
 drop table
 update
 truncate
 from
 %

　　下面是我写的两种关于解决注入式攻击的防范代码，供大家学习参考！

　　js版的防范SQL注入式攻击代码～：

[CODE START]　　



[CODE END]

　　asp版的防范SQL注入式攻击代码～：

[CODE START]
＜%
On Error Resume Next
Dim strTemp

If LCase(Request.ServerVariables("HTTPS")) = "off" Then
strTemp = "http://"
Else
strTemp = "https://"
End If

strTemp = strTemp & Request.ServerVariables("SERVER_NAME")
If Request.ServerVariables("SERVER_PORT") <> 80 Then strTemp = strTemp & ":" & Request.ServerVariables("SERVER_PORT")

strTemp = strTemp & Request.ServerVariables("URL")

If Trim(Request.QueryString) <> "" Then strTemp = strTemp & "?" & Trim(Request.QueryString)

strTemp = LCase(strTemp)

If Instr(strTemp,"select%20") or Instr(strTemp,"insert%20") or Instr(strTemp,"delete%20from") or Instr(strTemp,"count(") or Instr(strTemp,"drop%20table") or Instr(strTemp,"update%20") or Instr(strTemp,"truncate%20") or Instr(strTemp,"asc(") or Instr(strTemp,"mid(") or Instr(strTemp,"char(") or Instr(strTemp,"xp_cmdshell") or Instr(strTemp,"exec%20master") or Instr(strTemp,"net%20localgroup%20administrators") or Instr(strTemp,":") or Instr(strTemp,"net%20user") or Instr(strTemp,"'") or Instr(strTemp,"%20or%20") then
Response.Write "＜script language='Javascript'＞"
Response.Write "alert('非法地址！！');"
Response.Write "location.href='error.asp';"
Response.Write "＜script＞"
End If
%＞
[CODE END]

　　C# 检查字符串,防SQL注入攻击

　　这个例子里暂定为=号和'号

bool CheckParams(params object[] args)
{
　string[] Lawlesses={"=","'"};
　if(Lawlesses==null||Lawlesses.Length<=0)return true;
　//构造正则表达式,例:Lawlesses是=号和'号,则正则表达式为 .*[=}'].* (正则表达式相关内容请见MSDN)
　//另外,由于我是想做通用而且容易修改的函数,所以多了一步由字符数组到正则表达式,实际使用中,直接写正则表达式亦可;

　String str_Regex=".*[";
　for(int i=0;i　　str_Regex+=Lawlesses[i]+"|";
　　str_Regex+=Lawlesses[Lawlesses.Length-1]+"].*";
　　//
　　foreach(object arg in args)
　　{
　　　if(arg is string)//如果是字符串,直接检查
　　　{
　　　　if(Regex.Matches(arg.ToString(),str_Regex).Count>0)
　　　　return false;
　　　}
　　　else if(arg is ICollection)
　　　　//如果是一个集合,则检查集合内元素是否字符串,是字符串,就进行检查
　　　{
　　　　foreach(object obj in (ICollection)arg)
　　　　{
　　　　　if(obj is string)
　　　　　{
　　　　　　if(Regex.Matches(obj.ToString(),str_Regex).Count>0)
　　　　　　　return false;
　　　　　}
　　　　}
　　　}
　　}
　　return true;

• html
• sql
• 注入
• php
• windows
• mysql
• 服务器
• https
• javascript

写下你的评论吧 !

吐个槽吧,看都看了

会员登录 | 用户注册

推荐阅读

• jsp

  Axublog 1.1.0 版本 c_login.php 文件中发现 SQL 注入安全漏洞

  在 Axublog 1.1.0 版本的 `c_login.php` 文件中发现了一个严重的 SQL 注入漏洞。该漏洞允许攻击者通过操纵登录请求中的参数，注入恶意 SQL 代码，从而可能获取敏感信息或对数据库进行未授权操作。建议用户尽快更新到最新版本并采取相应的安全措施以防止潜在的风险。 ... [详细]

  蜡笔小新   2024-11-09 13:37:09
• jsp

  2023年最新解读：PHP中C的作用

  本文将详细探讨PHP中C的作用，并对比其他编程语言如Java和C的特点及其适用场景。 ... [详细]

  蜡笔小新   2024-11-16 16:14:42
• stream

  centos 7.0 lnmp成功安装过程（很乱）

  

  下载nginx[rootlocalhostsrc]#wgethttp:nginx.orgdownloadnginx-1.7.9.tar.gz--2015-01-2412:55:2 ... [详细]

  蜡笔小新   2024-11-15 14:20:54
• export

  如何重置MySQL服务器密码

  本文详细介绍如何在忘记MySQL服务器密码的情况下进行密码重置，包括具体的步骤和注意事项。 ... [详细]

  蜡笔小新   2024-11-15 09:54:51
• bit

  阿里云服务器搭建详解——Ubuntu

  

  由于自己电脑配置跟不上，双系统一开，整个电脑就会变得非常卡顿，所以决定在阿里云买一个云服务器。听朋友说，学生买的话是非常便宜 ... [详细]

  蜡笔小新   2024-11-15 08:28:14
• bit

  如何查看PHP网站及其源码

  本文介绍了如何查看PHP网站及其源码的方法，包括环境搭建、本地测试、源码查看和在线查找等步骤。 ... [详细]

  蜡笔小新   2024-11-14 21:51:01
• main

  Go Echo 框架入门指南【1】

  本文介绍了 Go 语言中的高性能、可扩展、轻量级 Web 框架 Echo。Echo 框架简单易用，仅需几行代码即可启动一个高性能 HTTP 服务。 ... [详细]

  蜡笔小新   2024-11-14 18:30:58
• stream

  web页面报表js下载,web报表软件

  web页面报表js下载,web报表软件 ... [详细]

  蜡笔小新   2024-11-16 18:37:21
• jsp

  SvpplyTable: 实现可扩展和可折叠的菜单动画

  

  SvpplyTable 是一个示例项目，旨在实现类似 Svpply 应用程序中的可扩展和可折叠的菜单动画效果。该项目托管在 GitHub 上，地址为 https://github.com/liuminqian/SvpplyTable。 ... [详细]

  蜡笔小新   2024-11-15 15:27:31
• jsp

  使用Postman构建API请求

  本文介绍了如何使用Postman构建和发送HTTP请求，包括四个主要部分：方法（Method）、URL、头部（Headers）和主体（Body）。特别强调了Body部分的重要性，并详细说明了不同类型的请求体。 ... [详细]

  蜡笔小新   2024-11-15 13:35:01
• config

  MongoDB核心概念详解

  

  本文介绍了NoSQL数据库的概念及其应用场景，重点解析了MongoDB的基本特性、数据结构以及常用操作。MongoDB是一个高性能、高可用且易于扩展的文档数据库系统。 ... [详细]

  蜡笔小新   2024-11-15 10:24:19
• config

  Java 网站开发指南

  本文详细介绍了 Java 网站开发的相关资源和步骤，包括常用网站、开发环境和框架选择。 ... [详细]

  蜡笔小新   2024-11-14 22:39:58
• config

  Kubernetes 控制平面与节点之间的通信机制解析

  本文深入解析了 Kubernetes 控制平面（特别是 API 服务器）与集群节点之间的通信机制，并对其通信路径进行了详细分类。旨在帮助用户更好地理解和定制其安装配置，从而增强网络安全性，确保集群的稳定运行。 ... [详细]

  蜡笔小新   2024-11-11 21:38:03
• jsp

  Web开发框架概览：Java与JavaScript技术及框架综述

  

  Web开发涉及服务器端和客户端的协同工作。在服务器端，Java是一种优秀的编程语言，适用于构建各种功能模块，如通过Servlet实现特定服务。客户端则主要依赖HTML进行内容展示，同时借助JavaScript增强交互性和动态效果。此外，现代Web开发还广泛使用各种框架和库，如Spring Boot、React和Vue.js，以提高开发效率和应用性能。 ... [详细]

  蜡笔小新   2024-11-09 11:59:38
• jsp

  如何有效防御网站中的SQL注入攻击

  

  本期文章将深入探讨网站如何有效防御SQL注入攻击。我们将从技术层面详细解析防范措施，并结合实际案例进行阐述，旨在帮助读者全面了解并掌握有效的防护策略。希望本文能为您的网络安全提供有益参考。 ... [详细]

  蜡笔小新   2024-11-08 11:09:59