SQLInjectionKiller!!!

4 svar · 321 visningar · startad av Megaman 4 juni 2005

MegamanMedlem sedan jan. 2004118 inlägg

Frågan4 juni 2005 17:31#1

Detta borde väl vara en säkert mot sqlinjection eller????

Den borde ju vara ganska säkert att göra så här istället för koden snutten under denna kod

Function SQLInjectionKillers(strWords)

strBadWords = Array("SELECT", "DROP", ";", "--", "INSERT", "DELETE", "xp_", "UNION")
strBadWordsReplace = Array("&#83elect", "&#68rop", "&#59", "&#45&#45;", "&#73nsert", "&#68elete", "&#120p&#95", "&#85nion")
				
For iSQL = 0 to uBound(strBadWords)
	strWords = Replace(strWords, strBadWords(iSQL), strBadWordsReplace(iSQL),1,-1,1)

Next
				
SQLInjectionKillers = strWords
End Function

istället för typ denna

 
Function Fixa(str)
  Fixa  = Replace(Trim(str),"'","''")
End function

den ersätter tydligen vissa tecken i strBadWordsReplace för så här var det inte som jag klistrade in.

cyprysMedlem sedan dec. 20003 563 inlägg

4 juni 2005 18:01#2

Din funktion gör tyvärr ingenting.
SELECT är ekvivalent med select i sql. Inte case-sensitive.

MegamanMedlem sedan jan. 2004118 inlägg

4 juni 2005 18:12#3

Okej tänkte att om man erstte ord som DROP, INSERT, DELETE så skulle det kanske vara säkert.

Functionen Fixa tecken andvänder jag idag den andra var som sagt var bara en tanke...

Och när du väl säger det så väljer du ju en tabel med select men om man tar bort select ifrån det kan den då funka bra???

Erik JuhlinMedlem sedan maj 200010 687 inlägg

4 juni 2005 18:31#4

Din funktion är inte särskilt vettig. Enda den gör är att modifiera inkommande data vilket kan vara mycket irriterande.

När det handlar om strängar, ersätt ' med ''.
När det handlar om tal, booleans och datum typkonverterar man.

Här finner du lite mer info:
http://www.webforum.nu/showthread.php?s=&postid=1037886#post1037886

MegamanMedlem sedan jan. 2004118 inlägg

4 juni 2005 23:51#5

Okej och tack för länken du skickade intressant läsning!!!