从 'or'='or' 漏洞安全检测到修复手法 - 爱国者安全网新闻中心

通行证│用户名: 密码: 验证码: 验证码,看不清楚?请点击刷新验证码

爱心红客

电信 ┊ 网通 ┊ 铁通 ┊ 移动

在线人

文章搜索：

热门搜索：红客黑鹰红客技术安全动画红客培训

　业内新闻漏洞公告病毒公告电脑知识网络知识菜鸟入门攻防教程黑客攻防安全编程工具使用综合安全个人安全安全相关 Q Q安全原创精华红客人物站内事件

您现在的位置：爱国者安全网 >> 文章类 >> 红客教程 >> 网络攻防 >> 文章正文

从 'or'='or' 漏洞安全检测到修复手法

责任编辑：酷酷の鱼　更新日期：2008-5-8

来源:安全中国

实施修复，方法有很多在这里介绍两种，咱们使用第2种
方法1: Replace过滤字符
解决方法:查找login.asp下的<from找到下边的类似

username=request.Form("name")
pass=request.Form("pass")

修改为：

username=Replace(request.Form("name"), "’", "’’")
pass=Replace(request.Form("pass"), "’", "’’")

语法是屏蔽’和’’字符来达到效果.

方法2：在conn.asp 内加入
  注：（前提登陆页面有）

  把以下代码保存为safe.asp

下面是程序代码********************************************************

<%
Dim Query_Badword,Form_Badword,i,Err_Message,Err_Web,name
Err_Message = 3
Err_Web = "safe.htm"
’出错时转向的页面

Query_Badword="’|and|select|update|chr|delete|%20from|;|insert|mid|master.|set|chr(37)|="
’在这部份定义get非法参数,使用"|"号间隔

Form_Badword="’|(|)|;|="
’在这部份定义post非法参数,使用"|"号间隔

On Error Resume Next

if request.QueryString<>"" then
Chk_badword=split(Query_Badword,"|")
FOR EACH Query_Name IN Request.QueryString
for i=0 to ubound(Chk_badword)
If Instr(LCase(request.QueryString(Query_Name)),Chk_badword(i))<>0 Then
Select Case Err_Message
Case "1"
Response.Write "<Script Language=JavaScript>alert(’传参错误！参数 "&name&" 的值中包含非法字符串！\n\n请不要在参数中出现：and update delete ; insert mid master 等非法字符！’);window.close();</Script>"
Case "2"
Response.Write "<Script Language=JavaScript>location.href=’"&Err_Web&"’</Script>"
Case "3"
Response.Write "<Script Language=JavaScript>alert(’传参错误！参数 "&name&"的值中包含非法字符串！\n\n请不要在参数中出现：and update delete ; insert mid master 等非法字符！’);location.href=’"&Err_Web&"’;</Script>"
End Select
Response.End
End If
NEXT
NEXT
End if
if request.form<>"" then
Chk_badword=split(Form_Badword,"|")
FOR EACH name IN Request.Form
for i=0 to ubound(Chk_badword)
If Instr(LCase(request.form(name)),Chk_badword(i))<>0 Then
Select Case Err_Message
Case "1"
Response.Write "<Script Language=JavaScript>alert(’出错了！表单 "&name&" 的值中包含非法字符串！\n\n你的非法操作已记录,请马上停止非法行为！’);window.close();</Script>"
Case "2"
Response.Write "<Script Language=JavaScript>location.href=’"&Err_Web&"’</Script>"
Case "3"
Response.Write "<Script Language=JavaScript>alert(’唐山味儿不浓告诉您出错了！参数 "&name&"的值中包含非法字符串！\n\谢谢您光临！,请停止非法行为！’);location.href=’"&Err_Web&"’;</Script>"
End Select
Response.End
End If
NEXT
NEXT
end if
%>

上一篇文章：修改破解MYSQL密码方法大全

下一篇文章：没有了