Ewebeditor e editor fckeditork filtram aspas simples

Ewebeditor e editor fckeditork filtram aspas simples

Usamos o método de escrita SQL=insert into product(title,content)values(' &request(title)& ' ,' &request(content)& ' ), então encontramos o conteúdo que o cliente COPIOU no editor naquele momento e descobri que, com certeza, esse conteúdo contém aspas simples. Acontece que foi precisamente porque o conteúdo enviado pelo cliente ao editor continha aspas simples que nossa instrução SQL foi alterada, o que equivale a SQL=insert into product(. título, conteúdo) valores ('conteúdo'. ,'content') torna-se SQL=insert into product(title,content) values('content','content''). Se olharmos de perto, saberemos que só porque há uma aspa simples extra no conteúdo, a instrução SQL ocorre. Há um erro grave de gravação. No entanto, também estamos surpresos que, como foi escrita incorretamente, por que a instrução SQL não fornece uma mensagem de erro, mas também avisa que a operação foi bem-sucedida? pense nos pequenos hackers comuns dos anos de 2003. Gosto de usar 'ou' =' ou' O método de intrusão em segundo plano parece tirar vantagem do bug de que aspas simples não são filtradas quando o SQL é executado. Como resultado, não importa como o SQL é executado, o resultado retorna verdadeiro. escrever o programa deve ser o mais simples e claro possível, o que também é um erro. Pronto, o problema foi encontrado. Futuramente, antes de todo o SQL ser inserido no banco de dados, iremos filtrar os campos antes de passar o valor, para que esse problema não ocorra mais. Você pode simplesmente usá-lo. Ele está pronto para ser chamado.

Função HTMLEncode(Str)

Se for nulo (Str) então

Código HTML =

Função de saída

Terminar se

Str = Substituir(Str,Chr(0),, 1, -1, 1)

Str = Substituir(Str, , ", 1, -1, 1)

Str = Substituir(Str,<,&lt;, 1, -1, 1)

Str = Substituir(Str,>,&gt;, 1, -1, 1)

Str = Substituir(Str, script, &#115;cript, 1, -1, 0)

Str = Substituir (Str, SCRIPT, &#083;CRIPT, 1, -1, 0)

Str = Substituir (Str, Script, &#083;cript, 1, -1, 0)

Str = Substituir (Str, script, &#083;cript, 1, -1, 1)

Str = Substituir(Str, objeto, objeto, 1, -1, 0)

Str = Substituir (Str, OBJETO, &#079;BJETO, 1, -1, 0)

Str = Substituir (Str, Objeto, &#079;objeto, 1, -1, 0)

Str = Substituir(Str, objeto, objeto, 1, -1, 1)

Str = Substituir (Str, miniaplicativo, &#097;pplet, 1, -1, 0)

Str = Substituir (Str, APPLET, &#065;PPLET, 1, -1, 0)

Str = Substituir (Str, miniaplicativo, &#065;pplet, 1, -1, 0)

Str = Substituir (Str, miniaplicativo, &#065;pplet, 1, -1, 1)

Str = Substituir(Str, [, &#091;)

Str = Substituir(Str, ], &#093;)

Str = Substituir(Str, , , 1, -1, 1)

Str = Substituir(Str, =, &#061;, 1, -1, 1)

Str = Substituir(Str, ', '', 1, -1, 1)

Str = Substituir(Str, select, sel'ct, 1, -1, 1)

Str = Substituir (Str, executar, &#101executar, 1, -1, 1)

Str = Substituir (Str, exec, &#101xec, 1, -1, 1)

Str = Substituir(Str, join, jo&#105;n, 1, -1, 1)

Str = Substituir (Str, união, un&#105;on, 1, -1, 1)

Str = Substituir (Str, onde, onde, 1, -1, 1)

Str = Substituir (Str, inserir, inserir, 1, -1, 1)

Str = Substituir(Str, delete, del'te, 1, -1, 1)

Str = Substituir (Str, atualizar, atualizar, 1, -1, 1)

Str = Substituir(Str, like, like&#101;, 1, -1, 1)

Str = Substituir (Str, drop, dro&#112;, 1, -1, 1)

Str = Substituir (Str, criar, criar, 1, -1, 1)

Str = Substituir (Str, renomear, renomear, 1, -1, 1)

Str = Substituir (Str, contagem, co&#117;nt, 1, -1, 1)

Str = Substituir (Str, chr, c&#104;r, 1, -1, 1)

Str = Substituir (Str, mid, m&#105;d, 1, -1, 1)

Str = Substituir (Str, truncar, truncar, 1, -1, 1)

Str = Substituir(Str, nchar, nch'r, 1, -1, 1)

Str = Substituir(Str, char, ch'r, 1, -1, 1)

Str = Substituir (Str, alterar, alt&#101;r, 1, -1, 1)

Str = Substituir (Str, elenco, não posso, 1, -1, 1)

Str = Substituir (Str, existe, e&#120;ists, 1, -1, 1)

Str = Substituir(Str,Chr(13), , 1, -1, 1)

HTMLEncode = Substituir(Str,','', 1, -1, 1)

Função final