Rem##长整数转换
FunctiontoNum(s,default)
IfIsNumeric(s)ands<>""then
toNum=CLng(s)
Else
toNum=default
EndIf
EndFunction
Rem##SQL语句转换
FunctiontoSql(str)
IfIsNull(str)Thenstr=""
toSql=replace(str,"''","''''")
EndFunction
示例:
Dimsql
DimstrWhere,strName,intAge
strName=toSql(request("user"))
intAge=toNum(request("age"),20)
sql="SELECT*FROM[USER]"&_
"WHERE[AGE]>"&strName&_
"AND[USERNAME]=''"&intAge&"''"
一般情况下,通过上面两个函数的过虑,可以杜绝网上的SQL注入攻击!如果你觉得有需要,可以加上对chr(0)的替换,将toSql函数改为如下:
FunctiontoSql(str)
IfIsNull(str)Thenstr=""
str=replace(str,chr(0),"")
toSql=replace(str,"''","''''")
EndFunction
另注:
***********************************************************************
检测外部提交的函数
FunctionCheckUrlRefer()
DimstrLocalUrl,intUrlLen,strUrlRefer
strLocalUrl="http://127.0.0.1"
intUrlLen=Len(strLocalUrl)
strUrlRefer=LCase(request.ServerVariables("HTTP_REFERER")&"")
''检测前一个页面是否来自strLocalUrl
IfLeft(strUrlRefer,intUrlLen)=strLocalUrlThen
CheckUrlRefer=True
Else
CheckUrlRefer=False
EndIf
EndFunction
***********************************************************************
该函数可以帮助你抵挡外部的SQL注入测试,只需要在页面的头部调用即可.
通过简单的两个小函数,让你的ASP程序更安全！
欢迎高手指正(请将绕过这两个函数的方法写出来)！
相关讨论页面:
http://community.csdn.net/Expert/TopicView.asp?id=3585010
http://community.csdn.net/Expert/TopicView.asp?id=3582230
http://community.csdn.net/Expert/topic/3589/3589480.xml?temp=.4866449
/////////////////////////////////////////////////////////////////////////////////////////////////////////////
dimqs,errc,iii
qs=request.servervariables("query_string")
dimnothis(18)
nothis(0)="netuser"