菜鸟....救命。防注入。Global.asax

Question

#region SQL注入式攻击代码分析
        /// <summary> 
        /// 处理用户提交的请求 
        /// </summary> 
        private void StartProcessRequest()
        {
            try
            {
                string getkeys = "";                if (System.Web.HttpContext.Current.Request.QueryString != null)
                {                    for (int i = 0; i < System.Web.HttpContext.Current.Request.QueryString.Count; i++)
                    {
                        getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];
                        if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
                        {
                            System.Web.HttpContext.Current.Response.Write("<h3>不能包含执行语句</h3>");
                            System.Web.HttpContext.Current.Response.End();
                        }
                    }
                }
                if (System.Web.HttpContext.Current.Request.Form != null)
                {
                    for (int i = 0; i < System.Web.HttpContext.Current.Request.Form.Count; i++)
                    {
                        getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];
                        if (getkeys == "__VIEWSTATE") continue;
                        if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
                        {
                            jcFAQApp.FAQ_Util.Log.WriteMessage("<font color:red>注入攻击</red>", System.Web.HttpContext.Current.Request.UserHostAddress.ToString());
                            System.Web.HttpContext.Current.Response.Write("<h3>不能包含执行语句</h3>");
                            System.Web.HttpContext.Current.Response.End();
                        }
                    }
                }
            }
            catch
            {            }
        }
        /// <summary> 
        /// 分析用户请求是否正常 
        /// </summary> 
        /// <param name="Str">传入用户提交数据 </param> 
        /// <returns>返回是否含有SQL注入式攻击代码 </returns> 
        private bool ProcessSqlStr(string Str)
        {
            bool ReturnValue = true;
            try
            {
                if (Str.Trim() != "")
                {
                    //string SqlStr = "and ¦exec ¦insert ¦select ¦delete ¦update ¦count ¦* ¦chr ¦mid ¦master ¦truncate ¦char ¦declare";
                    string SqlStr = "exec ¦insert ¦select ¦delete ¦update ¦mid ¦master ¦truncate ¦declare";
                    string[] anySqlStr = SqlStr.Split('¦');
                    foreach (string ss in anySqlStr)
                    {
                        if (Str.ToLower().IndexOf(ss) >= 0)
                        {
                            ReturnValue = false;
                            break;
                        }
                    }
                }
            }
            catch
            {
                ReturnValue = false;
            }
            return ReturnValue;
        }
        #endregion
jcFAQApp这个是什么意思,老报错。怎么解决。。望高手给菜鸟小弟我解决

Answer 1

jcFAQApp应该是一个dll
你没有添加对其引用所以会摄氏

Answer 2

你如果把小弟改成小M ，CSDN的高手会蜂拥而至
including me

Answer 3

自定义的类
添加引用
using 命名空间;

Answer 4

http://www.awayblog.cn/article.asp?bj1686$_$a84a6a6d69f309f1431694dc.html

Answer 5

1.先在bin右键添加jcFAQApp.dll的引用
2.右键选中jcFAQApp --Reslove--选择  using..... 

Answer 6

jcFAQApp.dll我没有啊，谁有的吗？

Answer 7

···自己去GOOGLE一个，如果是常用的 肯定搜的到 然后放在你项目的bin目录里 在工具栏中右键点“选择项” 找到DLL位置 点确定  你懂的

Answer 8

一会儿是小弟,一会儿是小妹,究竟是?建议你把这个global.asax的机制pass掉,
直接用参数化操作.省心省力

Answer 9

参数化,网上介绍的资料汗牛充栋
代码的写法有N多种,不过核心思想都是一样的.譬如传统的某个查询,你可能会写成
String strsql="select * from mynews where id ='"+bh+"'";
如果用参数化(注意第一句的不同)
string strsql = "select * from mynews where id = @bh";
SqlCommand cmd = new SqlCommand(strsql, con);//创建Command对象
cmd.Parameters.Add("@bh", SqlDbType.Int);//增加参数@bh
cmd.Parameters[0].Value = 4;//通过索引为参数赋值
SqlDataReader dr = cmd.ExecuteReader();//

Answer 10

哦，这样叫参数化，我懂了，好像用过。不过我看不出它和拼装的sql有什么区别啊，，在安全方面

Answer 11

区别就是你不用那么多Replace了~

Answer 12

区别大了,表面上看起来写法只是略有不同,但.net以及数据库对参数在背后的处理你没看到.
用参数化方法,对于where id = @bh这样的条件
无论你在@bh中输入什么恶意的字符,对于执行效果而言,
你可以理解为:它们都被打包成一个字段值,而无非暴露在外面,来改变SQL语句的语义.