SQL通用防注入程序带来的攻击及防范

发布: 2007-7-02 11:08 | 作者: admin | 来源: | 查看: 10次 | 进入软件测试论坛讨论

现在基于web的攻击一般都是注入。导致注入的原因一般为对变量的过滤不完全，从而可以使入侵者非法执行程序或查询修改任意数据。随着注入攻击的愈演愈烈，一些专门的过滤代码应运而生。但一些过滤代码的不完善很可能导致新的攻击。下面就以目前应用最广泛的过滤代码--SQL通用防注入程序为下列说明漏洞的成因、利用方法及防范措施。

　　SQL通用防注入程序是由火狐的枫知秋编写的，功能相当完善的防注入代码。它能对定义的过滤字符实现get提交的过滤，并能记录攻击者的IP提交的数据信息。使用时只须在要防注入的文件头中加入代码＜--#Include File="WrSky_Sql.Asp"--＞可以实现对变量的过滤。如果在数据库连接文件（如conn.asp）后加入程序代码，则可以实现整站的变量过滤，从而达到防注入的效果。

　　好了，下面我们先来看变量过滤部分的代码：

@#--------定义部份------------------
Dim Fy_Post,Fy_Get,Fy_In,Fy_Inf,Fy_Xh,Fy_db,Fy_dbstr
@#自定义需要过滤的字串,用 "枫" 分隔
Fy_In = "@#枫;枫and枫exec枫insert枫select枫delete枫update枫count枫*枫%枫chr枫mid枫master枫truncate枫char枫declare"
@#----------------------------------
%＞
＜
Fy_Inf = split(Fy_In,"枫")
@#--------POST部份------------------
If Request.Form＜＞ Then
For Each Fy_Post In Request.Form

For Fy_Xh=0 To Ubound(Fy_Inf)
If Instr(LCase(Request.Form(Fy_Post)),Fy_Inf(Fy_Xh))＜＞Then
@#--------GET部份-------------------
If Request.QueryString＜＞ Then
For Each Fy_Get In Request.QueryString

For Fy_Xh=0 To Ubound(Fy_Inf)
If Instr(LCase(Request.QueryString(Fy_Get)),Fy_Inf(Fy_Xh))＜＞Then