防止SQL注入式攻击的笔记

SQL注入式攻击是指利用设计上的漏洞攻击系统。如果动态生成SQL语句时没有对用户输入的数据

进行过滤，便会使SQL注入式攻击得逞。

例如用下面的SQL语句判断用户名和密码：

txtsql="select * from user_info where userid='"&txtuserid &"' and_

password='" & txtpassword.text & "'"

则通过SQL注入式攻击，在“密码”文本框中输入1'or '1'='1,非法用户便可在

没有密码的情况下轻松登录系统，因为SQL语句已经变为：

txtsql="select * from user_info where userid='"&txtuserid &"' and_

password='" &_1'or '1'='1 & "'"

要防范SQL注入式攻击，应该注意一下几点;

1,检查输入的SQL语句的内容，如果包含敏感字符，则删除敏感字符，敏感字符

包含【',>,<=,!,_,+,*,/,(),|和空格】

2，不要在用户输入过程中构造where子句，应该利用参数来使用存储过程。

下面举例来防范SQL注入式攻击：

Function inputString(mystr) as String

mystr=Trim(mystr)

mystr=Replace(mystr,"'","'")

mystr=Replace(mystr,"；--","")

mystr=Replace(mystr,"=",""）

mystr=Replace(mystr,"or","")

mystr=Replace(mystr,"and","")

End Function

txtsql="select * from user_info where userid='" & txtuserid & "' and_

password='" & inputString(txtpassword.text) & "'"

欢迎关注我的公众号（同步更新文章）：DoNet技术分享平台

阅读原文