如何預(yù)防GET方式的注入攻擊
作者：佚名
目前網(wǎng)絡(luò)上各種注入工具多如牛毛,雖然論壇系統(tǒng)中內(nèi)置了防注入的手段,但是用戶不當(dāng)?shù)脑O(shè)置和修改仍然可被利用,在BBSGOOD論壇中,所有涉及數(shù)據(jù)庫(kù)的頁(yè)面都用到了conn.asp這個(gè)文件,我們?cè)诶锩婕尤隚ET方式防注入的通用代碼,可以有效的防止注入攻擊.
當(dāng)今互聯(lián)網(wǎng)上的注入攻擊簡(jiǎn)直多如牛毛，網(wǎng)絡(luò)安全管理員稍有不慎就可能會(huì)淪為注入攻擊的靶子。但是我們可以通過在Option Explicit語(yǔ)句后加入一些語(yǔ)句，過濾了GET方式的 (和' 等，避免注入攻擊的發(fā)生。
在 Option Explicit 語(yǔ)句后面,增加以下語(yǔ)句
- dim server_name1,script_name1,QUERY_STRING1,FsUrl1
- server_name1=request.servervariables("server_name")
- script_name1=request.servervariables("script_name")
- QUERY_STRING1=Request.ServerVariables("QUERY_STRING")
- if QUERY_STRING1="" then
- FsUrl1="http://"&server_name1&script_name1
- else
- FsUrl1="http://"&server_name1&script_name1&"?"&QUERY_STRING1
- end if
- if instr(1,FsUrl1,"(",1)>0 or instr(1,FsUrl1,"'",1)>0 or instr(1,FsUrl1,"%20or%20",1)>0 or instr(1,FsUrl1,"%20and%20",1)>0 then
- Response.Write "含有非法字符"
- Response.End
- end if
通過上述這段代碼可以通過加入GET方式注入的通用代碼來過濾GET方式的漏洞字符，避免攻擊發(fā)生。
【編輯推薦】
責(zé)任編輯：張啟峰
來源：
安全在線
