ASP 프로그램이 SQL 문을 실행할 때 주입 공격 방지 문제 해석

권장 : ASP에 일반적으로 사용되는 기능 라이브러리의 전체 모음 공개
'-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

--------------------------------------------------------------------------------------------------------------------------------

username = request (user_name)

PWD = 요청 (PWD)

username = replace (username, ',' ')

pwd = 교체 (pwd, ',' ')

sql = updatetbl_testsetpwd = '& pwd &'whereuid = '& username &'

setrs = conn.execute (SQL)

--------------

이제 사용자를 등록하면 사용자 이름은 AA '; execsp_addlogin'haha입니다.

사용자가 비밀번호를 변경할 때 (PP로 변경되었다고 가정)는 무엇입니까? ?

SQL은 updatetbl_testsetpwd = 'pp'whereuid = 'aa'; execsp_addlogin 'haha'가됩니다.

결과적으로 사용자 AA가 없기 때문에 사용자 비밀번호가 수정되지 않았습니다.

그러나 데이터베이스에서 로그인이 생성되고 새 로그인은 HAHA입니다.

사용자 이름을 약간 수정하면 실제로 SQL 문 또는 SQL 시스템 프로세스를 실행할 수 있습니다.

그리고이 모든 것은 당신이 그것을 알지 못하고 일어났습니다. 사실, 위는 단지 하나입니다.

데모, 사용자 이름을 약간 수정하면 DBA 계정을 추가하고 삭제할 수 있습니다.

레코드, 사용자 비밀번호 읽기 및 기타 우선 조작.

공유 : ASP 페이지를 의사로 변경하는 간단한 방법에 대한 자세한 설명
현재 많은 웹 사이트에서 정적 페이지를 생성하는 방법을 사용합니다. 그 이유는 액세스 속도가 향상되기 때문입니다 (서버 측 CPU 활용률은 매우 낮습니다). 검색 엔진에도 쉽게 포함되기 때문입니다. 그러나 이것이 가져 오는 한 가지 문제는 이러한 정적 페이지를 저장하기에 충분한 공간이 필요하다는 것입니다. 공간이 풍부하지 않고 검색 엔진에 포함되기를 원한다면 실제로 의사 사용을 사용할 수 있습니다.