instr函数:利用instr()函数防止SQL注入攻击来源: 发布时间:星期五, 2008年9月26日 浏览:115次 评论:0
学asp也有一段时间了,这几天一直在写自己的程序,也遇到了好多问题,我就不得不得考虑到一些现在的漏洞,比如,‘ 或 and 1=1等等的一些漏洞!别的先不管,今天我就来说说如何堵这个漏洞!
记得看了一篇文章(不记得什么时候看的了),他用到了instr这个函数,具体的应该是这样的。
当然,也也可以在then后面写你想要的!这个先不管! 让我们先来学习instr这个函数吧: 语法
InStr 函数的语法有以下参数:
[返回值] InStr 函数返回以下值: 如果 InStr 返回 string1 为零长度 0 string1 为 Null Null string2 为零长度 start string2 为 Null Null string2 没有找到 0 在 string1 中找到 string2 找到匹配字符串的位置 start > Len(string2) 0 下面的示例利用 InStr 搜索字符串:
注意 InStrB 函数使用包含在字符串中的字节数据,所以 InStrB 返回的不是一个字符串在另一个字符串中第一次出现的字符位置,而是字节位置。 总结概括:instr的功能就是: 返回字符或字符串在另一个字符串中第一次出现的位置,好了,让我们在看看哪个代码:
含义:比较 字符(空格)与字符(\')在request(\"id\")中的具体位置(进行二进制制比较),假如找到了(空格)与(‘)字符,那么就是then 后的语句! 现在大家理解这个含义了吧! 当我看第一眼的时候我就说,假如在asp?Id=90加上字符(;或,)等等一些字符时不是造样出错吗?(是,回答的肯定的:) 估计又有人说,那我会在if instr(Request(\"id\"),\" \")>0 or instr(Request(\"id\"),\"\'\")>0 then 语句中在加些字符,比如改为:if instr(Request(\"id\"),\" \")>0 or instr(Request(\"id\"),\"\'\")>0 or instr(Request(\"id\"),\";\")>0 or instr(Request(\"id\"),\", \")>0 then 等等,你还可以在后面加,呵呵!(这个好啊!不过比较烂:) 是,这样加上后,确实能桃过一些所谓的黑客们的手的! 其实没必要,大家忘了instr(Request(\"id\"),\" \")>0这句话了吗,他还和(空格)比较了啊!只要有这句话,那些所谓的黑客们的,and 1 = 1 不就没用了吗? 0
相关文章读者评论发表评论 |