Ewebeditor und fckeditork Editor filtern einfache Anführungszeichen

Ewebeditor und fckeditork Editor filtern einfache Anführungszeichen

Wir haben die Schreibmethode SQL=insert into product(title,content) value(' &request(title)& ' ,' &request(content)& ' ) verwendet, sodass wir den Inhalt gefunden haben, den der Kunde zu diesem Zeitpunkt in den Editor kopiert hat , und stellte fest, dass dieser Inhalt tatsächlich einfache Anführungszeichen enthielt. Es stellte sich heraus, dass unsere SQL-Anweisung genau deshalb geändert wurde, weil der vom Kunden an den Editor übermittelte Inhalt einfache Anführungszeichen enthielt, was SQL = in Produkt einfügen entspricht. title,content)-Werte („content“ ,'content') wird zu SQL=insert into product(title,content) Values('content','content''). Es liegt ein schwerwiegender Schreibfehler vor. Wir sind jedoch auch überrascht, dass die SQL-Anweisung keine Fehlermeldung ausgibt, sondern auch anzeigt, dass der Vorgang erfolgreich ist Denken Sie an die gewöhnlichen kleinen Hacker in den Jahren 2003. Verwenden Sie gerne „oder“ = „oder“ Die Hintergrund-Intrusionsmethode nutzt offenbar den Fehler aus, dass einfache Anführungszeichen bei der Ausführung von SQL nicht gefiltert werden. Daher gibt das Ergebnis, egal wie SQL ausgeführt wird, „true“ zurück Das Schreiben des Programms sollte so einfach und klar wie möglich sein, was auch ein Fehler ist. Okay, das Problem wurde gefunden. Bevor das gesamte SQL in die Datenbank eingegeben wird, werden wir die Felder filtern, bevor der Wert übergeben wird, sodass dieses Problem nicht mehr auftritt. Nachfolgend finden Sie eine sehr vollständige SQL-Sicherheitsfilterfunktion. Sie können es einfach verwenden.

Funktion HTMLEncode(Str)

Wenn Isnull(Str) Dann

HTMLEncode =

Exit-Funktion

Ende wenn

Str = Ersetzen(Str,Chr(0),, 1, -1, 1)

Str = Ersetzen(Str, , ", 1, -1, 1)

Str = Ersetzen(Str,<,&lt;, 1, -1, 1)

Str = Ersetzen(Str,>,&gt;, 1, -1, 1)

Str = Replacement(Str, script, &#115;cript, 1, -1, 0)

Str = Ersetzen(Str, SCRIPT, &#083;CRIPT, 1, -1, 0)

Str = Replacement(Str, Script, &#083;cript, 1, -1, 0)

Str = Replacement(Str, script, &#083;cript, 1, -1, 1)

Str = Ersetzen(Str, Objekt, Objekt, 1, -1, 0)

Str = Ersetzen(Str, OBJECT, &#079;BJECT, 1, -1, 0)

Str = Replacement(Str, Object, &#079;object, 1, -1, 0)

Str = Ersetzen(Str, Objekt, Objekt, 1, -1, 1)

Str = Ersetzen(Str, applet, &#097;pplet, 1, -1, 0)

Str = Ersetzen(Str, APPLET, &#065;PPLET, 1, -1, 0)

Str = Ersetzen(Str, Applet, &#065;pplet, 1, -1, 0)

Str = Replacement(Str, applet, &#065;pplet, 1, -1, 1)

Str = Ersetzen(Str, [, &#091;)

Str = Ersetzen(Str, ], &#093;)

Str = Ersetzen(Str, , , 1, -1, 1)

Str = Ersetzen(Str, =, &#061;, 1, -1, 1)

Str = Ersetzen(Str, ', '', 1, -1, 1)

Str = Ersetzen(Str, select, sel'ct, 1, -1, 1)

Str = Replacement(Str,execute,&#101xecute, 1, -1, 1)

Str = Ersetzen(Str, exec, &#101xec, 1, -1, 1)

Str = Replacement(Str, join, jo&#105;n, 1, -1, 1)

Str = Replacement(Str, union, un&#105;on, 1, -1, 1)

Str = Replacement(Str, where, wh're, 1, -1, 1)

Str = Replacement(Str, insert, ins&#101;rt, 1, -1, 1)

Str = Replacement(Str, delete, del'te, 1, -1, 1)

Str = Ersetzen(Str, update, up&#100;ate, 1, -1, 1)

Str = Replacement(Str, like, lik&#101;, 1, -1, 1)

Str = Ersetzen(Str, drop, dro&#112;, 1, -1, 1)

Str = Replacement(Str, create, cr&#101;ate, 1, -1, 1)

Str = Replacement(Str, rename, ren'me, 1, -1, 1)

Str = Ersetzen(Str, count, co&#117;nt, 1, -1, 1)

Str = Ersetzen(Str, chr, c&#104;r, 1, -1, 1)

Str = Ersetzen(Str, mid, m&#105;d, 1, -1, 1)

Str = Replacement(Str, truncate, trunc'te, 1, -1, 1)

Str = Ersetzen(Str, nchar, nch'r, 1, -1, 1)

Str = Ersetzen(Str, char, ch'r, 1, -1, 1)

Str = Ersetzen(Str, alter, alt&#101;r, 1, -1, 1)

Str = Ersetzen(Str, cast, ca't, 1, -1, 1)

Str = Replacement(Str, exist, e&#120;ists, 1, -1, 1)

Str = Ersetzen(Str,Chr(13), , 1, -1, 1)

HTMLEncode = Ersetzen(Str,','', 1, -1, 1)

Funktion beenden