遇到神问题 数据库被注入

Question

SQL2005数据库被注入 varchar nvarchar text类型的字段都被注入 在原内容的后面都加上了
</title><style>.abgc{position:absolute;clip:rect(403px,auto,auto,403px);}</style><div class=abgc>secured <a href=http://lidapaydayloans.com >payday loan</a></div></title><style>.abf1{position:absolute;clip:rect(401px,auto,auto,401px);}</style>....后面还有不粘贴了我查了IIS日志 数据库跟踪 都没有发现什么问题 清理了一部分，现在还在Profilter跟踪...觉得很可怕啊，于是去百度了一下这段代码，竟然发现太悲剧了 N多网站被注入，不乏知名的大佬站点如阿里巴巴资讯频道。想知道 谁遇到过类似这段代码的注入？注入的方式能否介绍下？是Windows问题，SQL问题，还是.NET问题，还是我们写的代码有什么通用的毛病，如何防范...

Answer 1

你写的SQL要防止sql注入，不能直接拼接sql（如果拼接sql，你需要把用户输入的部分过滤关键字和单引号等符号），要用参数化的方式传参

Answer 2

我觉得要从你插入那个文本字段的页面入手，估计是从那里注入的，在插入数据库的代码里面加添域的判断还有所有的数据库操作都用SQL参数化的方式去做，这样能屏蔽一些简单的注入问题

Answer 3

 谢谢大家的建议，大概的道理我懂得，不过我还是怀疑他不是通过网站注入的，是不是什么病毒、劫持、欺骗之类的。遇到这个问题的应该很多呀。不知道有没有查明原因的来说说。就算是我这样的小人物防注入做的不好，阿里巴巴不会不懂吧？
这个肯定不是人为注入，至少我们被注入的站点都存在相同的，较为轻易就可以找到的漏洞，才有可能这么大量用脚本批量的注入吧。阿里巴巴被注入的页面  看相关新闻可以看出来和我一样惨，所有VARCHAR字段都被注入了。
http://info.china.alibaba.com/detail/1081063501.html
放心 无毒。只是一个跳转页面，好像是欺骗你去一个网站支付之类的

Answer 4

注意 不是注入了一个表，是数据库的所有VARCHAR，nvarchar,TEXT字段

Answer 5

入侵站点有的时候不是因为你这边的问题，有可能是旁注了，就是大家都在一房子里面，可是有的家伙没有出门上锁的习惯，直接导致屋子被入侵了，要你们服务器的管理员好好的检查一下吧。你这边一也要至少sql参数化，验证过滤机制