防止sql注入问题

Question

请教高手
如果传递是的数字,就用isnumeric(id)判断
如果传递的是字符,就过滤掉"'"
这样能全部防止sql注入吗?
如果不能的话,能说说为什么吗,我用的是asp
难道没有高手啊，如果回答清楚的话，加50分

Answer 1

ASP编程门槛很低，新手很容易上路。在一段不长的时间里，新手往往就已经能够编出看来比较完美的动态网站，在功能上，老手能做到的，新手也能够做到。那么新手与老手就没区别了吗？这里面区别可就大了，只不过外行人很难一眼就看出来罢了。在界面的友好性、运行性能以及网站的安全性方面是新手与老手之间区别的三个集中点。而在安全性方面，新手最容易忽略的问题就是SQL注入漏洞的问题。用NBSI
2.0对网上的一些ASP网站稍加扫描，就能发现许多ASP网站存在SQL注入漏洞，教育网里高校内部机构的一些网站这种漏洞就更普遍了，可能这是因为这些网站大都是一些学生做的缘故吧，虽然个个都很聪明，可是毕竟没有经验，而且处于学习中，难免漏洞多多了。本文主要讲讲SQL注入的防范措施，而要明白这些防范措施的用处，须先详细讲解利用SQL注入漏洞入侵的过程。新手们看明白啦。

相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。如这是一个正常的网址http://localhost/lawjia/show.asp?ID=444，将这个网址提交到服务器后，服务器将进行类似Select
* from 表名 where 字段="&ID的查询(ID即客户端提交的参数，本例是即444)，再将查询结果返回给客户端，如果这里客户端故意提交这么一个网址：

http://localhost/lawjia/show.asp?ID=444 and user>0，这时，服务器运行Select * from 表名
where 字段=444 and user>0这样的查询，当然，这个语句是运行不下去的，肯定出错，错误信息如下：

·错误类型：

Microsoft OLE DB Provider for ODBC Drivers (0x80040E07)
[Microsoft][ODBC SQL Server Driver][SQL Server]将 nvarchar 值 'sonybb' 转换为数据类型为
int 的列时发生语法错误。
/lawjia/show.asp, 第 47 行

但是别有用心的人从这个出错信息中，可以获得以下信息：该站使用MS＿SQL数据库，用ODBC连接，连接帐号名为：sonybb。所谓SQL注入（SQL
Injection），就是利用程序员对用户输入数据的合法性检测不严或不检测的特点，故意从客户端提交特殊的代码，从而收集程序及服务器的信息，从而获取想得到的资料。通常别有用心者的目标是获取网站管理员的帐号和密码。比如当某个人知道网站管理员帐号存在表login中，管理员帐号名为admin，他想知道管理员密码，这里他从客户端接着提交这样一个网址：
http://localhost/lawjia/show.asp?ID=444 and (Select password from login where
user_name='admin')>0，返回的出错信息如下：

·错误类型：

Microsoft OLE DB Provider for ODBC Drivers (0x80040E07)
[Microsoft][ODBC SQL Server Driver][SQL Server]将 varchar 值 '！＠＃＊＆admin' 转换为数据类型为
int 的列时发生语法错误。
/lawjia/show.asp, 第 47 行

你知道吗？上面标红的部分就是管理员帐号admin的密码！虽然很复杂，让人看几遍也记不住的，但它就这样显示在你面前了，这时您就可以用这个帐号和密码接管人家的网站了！这时你可能还会说，如果他不是事先知道管理员帐号存在表login中，而且知道管理员帐号为admin，那他就不可能获得管理员密码。你错了，只要人家愿意多花时间尝试，他将可以获得数据库连接帐号权限内所能获得的所有信息！

当然这个过程是很烦琐的而且要花费很多的时间，如果只能以这种手动方式进行SQL注入入侵的话，那么许多存在SQL注入漏洞的ASP网站会安全很多了，不是漏洞不存在了，而是利用这个漏洞入侵的成本太高了。但是如果利用专门的黑客工具来入侵的话，那情况就大大不同了。手动方式进行SQL注入入侵至少需要半天或一天乃至很多天的时间，而利用专门的工具来入侵就只需要几分钟时间了（视网速快慢决定），再利用获得的管理帐号和密码，上传一个从网上下载的ASP后门程序，就轻易获得整个网站的管理权限了，甚至整个服务器的管理权限。最有名的一种SQL注入入侵工具是NBSI
2.0，现在已经出到2.0版本了，不过，人家正式名称不叫SQL注入入侵工具，而叫做网站安全漏洞检测工具。有了这个所谓的检测工具，使得入侵存在SQL注入漏洞的ASP网站成了小儿科的游戏，那些既不懂ASP又不懂SQL、年纪小小的男性青年常常得以在一天之内入侵十多个ASP网站，他们以此获得内心的极大满足。他们似乎也非常讲究职业道德，往往并不破坏网站数据和系统，常见的破坏方式大都仅仅是改换掉网站的主页，留下"善意的警告"，如：你的网站存在SQL注入漏洞，请管理员做好防范措施！并声明"我没有破坏数据和系统"，有的还要借机发布一下他的倡导："国内网站大家不要入侵，有本事入侵小日本的！"，最后，签上他的鼎鼎大名是必不可少的程序。
不知那些没注意过SQL注入漏洞的ASP程序员们看了上面的例子，要作何感想呢？如果您的网站就这样被人不费吹灰之力入侵了，您是不是要吐几升血了呢？也许您已经为系统安全费尽心思了，装补丁、安防火墙、装杀毒软件、巧妙配置IIS及数据库用户权限，但您就是没有注意到SQL注入漏洞，于是"千里之堤，溃于蚁穴"。防火墙与杀毒软件对SQL注入是没办法防范的，因为SQL注入入侵跟普通的WEB页面访问没什么区别，所以往往是防不甚防。而且一个服务器上放置的网站往往是有很多个的，服务器管理员不可能挨个网站挨个页面的审查其是否存在SQL注入漏洞。那么应该如何防范SQL注入入侵呢？作为服务器管理员或网站程序员应该分别怎么做呢？服务器管理员要做的事主要是配置IIS和数据库用户权限，而网站程序员主要是要在程序代码编写上防范SQL注入入侵。下面详细叙述：

对于服务器管理员，既然你不可能挨个检查每个网站是否存在SQL注入漏洞，那么就来个一个绝招。这个绝招能有效防止SQL注入入侵而且"省心又省力，效果真好！"SQL注入入侵是根据IIS给出的ASP错误提示信息来入侵的，如果你把IIS设置成不管出什么样的ASP错误，只给出一种错误提示信息，即http
500错误，那么人家就没办法入侵了。具体设置请参看图2。主要把500:100这个错误的默认提示页面
C:\WINDOWS\Help\iisHelp\common\500-100.asp改成
C:\WINDOWS\Help\iisHelp\common\500.htm即可，这时，无论ASP运行中出什么错，服务器都只提示HTTP 500错误。
但是这样设置一个不好的地方是程序员编写的代码出错时，服务器不给出详细的错误提示信息，会给程序员带来很大的不便。不过，服务器毕竟不是测试代码的地方，应坚持安全稳定第一，这样设置也是无可厚非的，事实上许多服务器的出错信息都是如此设置。

服务器管理员还应在IIS中为每个网站设置好执行权限，可千万别给人家静态网站以"脚本和可执行"权限。一般情况下给个"纯脚本"权限就够了，对于那些通过网站后台管理中心上传的文件存放的目录，就更吝啬一点吧，执行权限设为"无"好了，这样做是为了防止人家上传ASP木马，执行权限设为"无"，人家上传ASP木马也运行不了。一般情况下，SQL注入漏洞仅是涉及一个网站安全的事，如果人家通过这个漏洞上传了ASP木马并运行起来，那整个服务器都失陷了。所以有远见的、有责任心的服务器管理员应该十分吝啬的配置IIS的执行权限。

同样的吝啬态度应适用于数据库用户的权限配置上，当然这里数据库是指MS＿SQL啦，ACCESS都没有用户权限配置这一步骤。如果PUBLIC权限足够使用的绝不给再高的权限，可千万别把SA级别的权限随随便便地给人家啊。那个所谓的网站安全漏洞检测工具NBSI
2.0可有跨库进行SQL注入的功能啊，如果你把SA权限给了存在SQL注入漏洞的库，那其它库就不保啦！城门失火，殃及池鱼呀。而人家还可以通过调用xp_cmdshell命令得到系统的最高权限。具体步骤还是请参看上面提到的那篇《SQL注入漏洞全接触》这篇文章吧。

接下来要讲讲程序员的防范措施了。程序主要要做两件事，最重要的一件事，当然是对客户端提交的变量参数进行仔细地检测啦。对客户端提交的变量进行检查以防止SQL注入，有各种方法，到http://community.csdn.net/上搜索一下，你能获得许多有益信息。这里介绍一种现成的方法，别人已经写好了检测代码，拿来用一下，不用自己辛苦啦。那就是"枫叶SQL通用防注入V1.0
ASP版"，这是一段对用户通过网址提交过来的变量参数进行检查的代码，发现客户端提交的参数中有"exec、insert、select、delete、from、update、count、user、xp_cmdshell、add、net、Asc"等用于SQL注入的常用字符时，立即停止执行ASP并给出警告信息或转向出错页面。大家可以到网上搜索一下，下载这段代码，存为一个ASP页面，如checkSQL.asp，把这个页面include到每个需要带参数查询SQL数据库ASP页面中，记住，只要加一行这样的<!--#include
file="checkSQL.asp"-->代码就行了。

程序员要做的第二件事是给用户密码加密啦。比如用MD5加密。MD5是没有反向算法,不能解密的。人家即使知道经加密后存在数据库里的像乱码一样的密码，他也没办法知道原始密码了。不过，人家可以用UPDATE方法用他的密码代替你的密码，但这个操作还是有点麻烦，人家可能会怕麻烦而放弃。而那个所谓的网站安全漏洞检测工具NBSI
2.0是没有提供UPDATE操作功能的，所以用MD5加密后，人家仅用NBSI
2.0而不辅以手动操作的话，就不可能获得网站管理员帐号的密码，这将挡住许多菜鸟级的攻击者，至少那些既不懂ASP又不懂SQL、年纪小小的男性青年是没有办法啦！

文章写到这，已经够长了，本来还想对那些所谓的网站安全漏洞检测工具如NBSI之流的黑客工具进行一番理性的探讨的，看来还是放弃好了。为了增强网站安全，了解攻击手段是必须的，但是，利用漏洞开发专门的黑客工具，使那些其实并不具备必要的网络技术和网络安全知识的人（就是文中提到的"既不懂ASP又不懂SQL、年纪小小的男性青年"）轻而易举地侵入一家网站，这除了为许多网络管理员制造麻烦外，是否还具有加强网络安全意识提高网络安全水平的功效呢？

Answer 2

跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。SQL注入的手法相当灵活，在注入的时候需要根据具体情况进行分析，构造巧妙的SQL语句，从而成功获取想要的数据.

SQL注入攻击的总体思路是：
1. 发现SQL注入位置；
2. 判断后台数据库类型；
3. 确定XP_CMDSHELL可执行情况
4. 发现WEB虚拟目录
5. 上传ASP木马；
6. 得到管理员权限；

一般来说，SQL注入一般存在于形如：http://xxx.xxx.xxx/abc.asp?id=XX等带有参数的ASP动态网页中，有时一个动态网页中可能只有一个参数，有时可能有N个参数，有时是整型参数，有时是字符串型参数，不能一概而论。总之只要是带有参数的动态网页且此网页访问了数据库，那么就有可能存在SQL注入。如果ASP程序员没有安全意识，不进行必要的字符过滤，存在SQL注入的可能性就非常大。
为了全面了解动态网页回答的信息，首选请调整IE的配置。把IE菜单-工具-Internet选项－高级－显示友好HTTP错误信息前面的勾去掉。

如过网站存在注入漏洞,黑客即可使用正常URL后面跟随入侵代码的方式执行任何操作,比如以下列出系统盘目录的命令:
http://xxx.xxx.xxx/abc.asp?p=YY;insert into temp(id)&nbs ... cmdshell ''dir c:\'';

为了防止注入攻击,最基本的方法是进行关键字过滤,现在推荐两种典型代码,可以全局调用或加在每个动态网页之中.

<%
''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
''ASP通用防注入代码
''您可以把该代码COPY到头文件中.也可以单独作
''为一个文件存在,每次调用使用
''作者:y3gu - 2005-7-29
''http://www.dosu.cn
''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''
Dim GetFlag Rem(提交方式)
Dim ErrorSql Rem(非法字符)
Dim RequestKey Rem(提交数据)
Dim ForI Rem(循环标记)
ErrorSql = "''~;~and~(~)~exec~update~count~*~%~chr~mid
~master~truncate~char~declare" Rem(每个敏感字符或者词语请使用半角 "~" 格开)
ErrorSql = split(ErrorSql,"~")
If Request.ServerVariables("REQUEST_METHOD")="GET" Then
GetFlag=True
Else
GetFlag=False
End If
If GetFlag Then
For Each RequestKey In Request.QueryString
For ForI=0 To Ubound(ErrorSql)
If Instr(LCase(Request.QueryString(RequestKey)),
ErrorSql(ForI))<>0 Then
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""Sql.asp"";</script>"
Response.End
End If
Next
Next
Else
For Each RequestKey In Request.Form
For ForI=0 To Ubound(ErrorSql)
If Instr(LCase(Request.Form(RequestKey)),
ErrorSql(ForI))<>0 Then
response.write "<script>alert(""警告:\n请不要使用敏感字符"");location.href=""Sql.asp"";</script>"
Response.End
End If
Next
Next
End If
%>

第二个

Function Checkstr(Str)
If Isnull(Str) Then
CheckStr = ""
Exit Function
End If
Str = Replace(Str,Chr(0),"", 1, －1, 1)
Str = Replace(Str, """", """, 1, －1, 1)
Str = Replace(Str,"<；","<；", 1, －1, 1)
Str = Replace(Str,">；",">；", 1, －1, 1)
Str = Replace(Str, "script", "script", 1, －1, 0)
Str = Replace(Str, "SCRIPT", "SCRIPT", 1, －1, 0)
Str = Replace(Str, "Script", "Script", 1, －1, 0)
Str = Replace(Str, "script", "Script", 1, －1, 1)
Str = Replace(Str, "object", "object", 1, －1, 0)
Str = Replace(Str, "OBJECT", "OBJECT", 1, －1, 0)
Str = Replace(Str, "Object", "Object", 1, －1, 0)
Str = Replace(Str, "object", "Object", 1, －1, 1)
Str = Replace(Str, "applet", "applet", 1, －1, 0)
Str = Replace(Str, "APPLET", "APPLET", 1, －1, 0)
Str = Replace(Str, "Applet", "Applet", 1, －1, 0)
Str = Replace(Str, "applet", "Applet", 1, －1, 1)
Str = Replace(Str, "[", "[")
Str = Replace(Str, "]", "]")
Str = Replace(Str, """", "", 1, －1, 1)
Str = Replace(Str, "=", "=", 1, －1, 1)
Str = Replace(Str, "’", "’’", 1, －1, 1)
Str = Replace(Str, "select", "select", 1, －1, 1)
Str = Replace(Str, "execute", "execute", 1, －1, 1)
Str = Replace(Str, "exec", "exec", 1, －1, 1)
Str = Replace(Str, "join", "join", 1, －1, 1)
Str = Replace(Str, "union", "union", 1, －1, 1)
Str = Replace(Str, "where", "where", 1, －1, 1)
Str = Replace(Str, "insert", "insert", 1, －1, 1)
Str = Replace(Str, "delete", "delete", 1, －1, 1)
Str = Replace(Str, "update", "update", 1, －1, 1)
Str = Replace(Str, "like", "like", 1, －1, 1)
Str = Replace(Str, "drop", "drop", 1, －1, 1)
Str = Replace(Str, "create", "create", 1, －1, 1)
Str = Replace(Str, "rename", "rename", 1, －1, 1)
Str = Replace(Str, "count", "count", 1, －1, 1)
Str = Replace(Str, "chr", "chr", 1, －1, 1)
Str = Replace(Str, "mid", "mid", 1, －1, 1)
Str = Replace(Str, "truncate", "truncate", 1, －1, 1)
Str = Replace(Str, "nchar", "nchar", 1, －1, 1)
Str = Replace(Str, "char", "char", 1, －1, 1)
Str = Replace(Str, "alter", "alter", 1, －1, 1)
Str = Replace(Str, "cast", "cast", 1, －1, 1)
Str = Replace(Str, "exists", "exists", 1, －1, 1)
Str = Replace(Str,Chr(13),"<；br>；", 1, －1, 1)
CheckStr = Replace(Str,"’","’’", 1, －1, 1)
End Function

Answer 3

其实六楼说的已经很清楚了！所谓的防注都是这样处理的！其实这里还有一个特点，只要你支持SQL语句支持，就一定会有注入，看你的防注手段高还是注入手法精巧了！

但不妨换一个方法进行思考，如果不用SQL语句，一般的注入就很难实现了！如果你的整站都是用的存储过程进行存取资料的情况下，把所有的SQL语句都封装在SQL服务上，而进行注入的所有东西都作为文本处理，这时其注入下手就有点难度了！如果对方想注入的话，还要猜你的存储过程，这样就很有趣了，我相信没有人有这样耐心的！

这种情况下，我想只在对参数作一些常规性的处理，应该可以防止大部分的SQL注入操作。否则只有六楼的过滤还是比较全的！但也不能保证SQL不发生注入！

Answer 4

<%
dim sql_injdata,SQL_inj,SQL_Get,SQL_Data,Sql_Post
SQL_injdata = "'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare"
SQL_inj = split(SQL_Injdata,"|")

If Request.QueryString<>"" Then
For Each SQL_Get In Request.QueryString
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language='javascript'>alert('SQL通用防注入系统提示:请不要在参数中包含非法字符尝试注入！');history.back(-1)</Script>"
Response.end
end if
next
Next
End If

If Request.Form<>"" Then
For Each Sql_Post In Request.Form
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.Form(Sql_Post),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language='javascript'>alert('SQL通用防注入系统提示:请不要在参数中包含非法字符尝试注入！');history.back(-1)</Script>"
Response.end
end if
next
next
end if
%>

Answer 5

不能, 使用php or asp? mysql 吗？

参考
$id = mysql_real_escape_string($_POST['id']);
$SQL = "SELECT * FROM myTable WHERE postID = '".$id."'";