背景: #EDF0F5 #FAFBE6 #FFF2E2 #FDE6E0 #F3FFE1 #DAFAF3 #EAEAEF 默认  
阅读新闻

在ASP程序中执行SQL语句的安全性问题

[日期:2004-10-02] 来源:  作者: [字体: ]
在ASP程序中,如果我们的程序设计不当,就有可能面临数据库被别人控制的危险

以下是一个简单的用户更改密码的代码
---------------------
username=request("user_name")
pwd=request("pwd")
username=replace(username,"'","''")

pwd=replace(pwd,"'","''")
sql="update tbl_test set pwd='" & pwd & "' where uid='" & username & "'"
set rs=conn.execute (sql)

--------------
现在,假如我注册一个用户,用户名为 aa'; exec sp_addlogin 'haha

当该用户更改密码时(假设改为pp),会出现什么后果呢??

sql变为 update tbl_test set pwd='pp' where uid='aa' ; exec sp_addlogin 'haha'

结果是用户密码没有被修改,因为没有 aa这个用户,
但在你的数据库中创建了一个登陆,新登陆名为 haha

将用户名稍加修改,实际上可以运行任何sql语句,任何sql系统过程
而这一切都在你不知情的情况下发生的,实际上,上面的只是一个

示范,稍微修改一下用户名,我们可以做添加一个DBA账号,删除所

有纪录,读取用户密码等越权操作。

 

 解决的办法:

在你使用参数前,对参数进行严格检验,尤其是用户输入的参数

不但要对其数据类型,长度进行检查,还要对其内容进行检查。


我们再看一段代码。(用户登陆)

username=request("user_name")
pwd=request("pwd")
username=replace(username,"'","''")
pwd=replace(pwd,"'","''")

sql="select uid,pwd from account where  uid='" & username & "'  and pwd='" & pwd "'"
rs.open sql,conn,1,1
if not rs.eof then
response.write  rs(0) & "欢迎您,您已登陆成功"
else
response.write  "登陆失败,错误的用户名或密码"
end if
............
以上程序的漏洞是显而易见的 
我们可以以          用户名:   admin       密码:   a' or '1'='1
轻易以admin的账号登陆系统
因为我们的sql 变为了
select uid,pwd from account where  uid='admin' and pwd='a' or '1'='1'
显然 uid='admin' and pwd='a' or '1'='1'是恒为成立的所以  rs.eof 为false

正确的写法应为
sql="select uid,pwd from account where  uid='" & username & "'  and pwd='" & pwd "'"
rs.open sql,conn,1,1
if rs(0)=username and rs(1)=pwd then
response.write  rs(0) & "欢迎您,您已登陆成功"
else
response.write  "登陆失败,错误的用户名或密码"
end if

 

----全文完--------
阅读:
录入:admin

推荐 】 【 打印
上一篇:正确处理ASP动态网页中的容错机制
下一篇:ASP实用技巧28则
相关新闻      
本文评论       全部评论
发表评论


点评: 字数
姓名:

  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款