文章作者：Neeao[BCT]
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

注意：本文章首发Bug.Center.Team 后由作者友情提交到邪恶八进制信息安全团队

SQL通用防注入系统3.1β版
关于以前版本的升级，直接覆盖文件和数据库即可使用！
希望这个小东西能给大家的网站带来一点安全！
在使用过程中有什么好的建议，还希望你能告诉我！谢谢你的使用！

在这里特感谢lake2，cookice部分的过滤得益于其写的文章：Request废话连篇
3.1 β版  加入对cookie部分的过滤，加入了对用js书写的asp程序的支持，加入了对安全表单的取消过滤！
3.0正式版  针对用户提出的问题做了一点补充!
3.0修正版  修正了封ip的一个Bug!
3.0版      在2.0增强版的基础上，加入了后台管理功能：
可以查看入侵者提交数据记录功能，解除对注入者ip封锁，以及删除注入记录功能！      
2.0增强版  增加了自动封注入者Ip功能，使注入者不能再访问本站！

文件说明：
Neeao_SqlIn.Asp      防SQl注入主文件，需要注意以下几点：
Neeao_sql_admin.asp      后台管理文件
注意：请用记事本打开Neeao_sql_admin.asp修改里面的管理密码！

使用方法很简单只要在需要防注入的页面头部用
<!--#Include File="Neeao_SqlIn.Asp"-->
就可以做到页面防注入
如果想整站防注，就在网站的一个公用文件中，如数据库链接文件conn.asp中！
添加<!--#Include File="Neeao_SqlIn.Asp"-->来调用本软件
需要注意的是，在添加到数据库连接文件中，为了不和程序发生冲突，需添加在文件代码的最底部！

发现问题请告诉我，我来修正，谢谢你使用本软件！

By：Neeao
Mail:neeaocn[AT]Gamil.com
http://www.Neeao.com
Bug.Center.Team-漏洞预警中心小组
http://www.cnbct.org

哎呀呀，怎么还在搞这个阿？

说起通用的防注入，唯一的解决办法是替换危险字符为全角，或者换成另外的字符。

否则提交一片文章，文章的主体内容中含有这些字符，岂不是无法添加了？？

假如说采用替换的方法，那么就有可能造成本来设定好的界面被弄乱了。

我还是老样子，拒绝通用防注入，针对必要的关键字过滤。

最后我还要说：你的这个东西我没看啊~~，哈哈！

文章作者：勇敢的风 [E.S.T顾问团成员]
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

引用:

<%  
function sql_zr(str)  
dim w,j
str=lcase(str)  
w = "&#39;∥%∥&∥*∥#∥@∥(∥)∥=∥and∥select∥update∥chr∥delete∥%20from∥;∥insert∥mid∥master.∥set∥chr(37)"  
w = split(w,"∥") &#39;22222222  
for j = 0 to ubound(w)  
if instr(str,w(j)) <> 0 then  
response.redirect "../"  
response.end  
end if  
next  
end function  
%>

以前没有限制大小写，现在加上了。

通用的弊端在上一层我已经说了，这里简单说说针对个别的过滤说一下

过滤sql注入时，我们应该过滤那些字段我们应该清楚，就是出现在sql语句中的变量，一般出现在SQL语句中的变量为搜索的时候，有的时候搜索数字，有些时候搜索文字，对于数字我们可以用判断该变量是不是数字即可，对于文字，用上面的代码即可。
代码说明：
if instr(str,w(j)) <> 0 then
找到sql注入后所作的处理
end if

用法，把这段代码放在读取数据库的那个文件，一般为Conn.asp
然后对出现在sql语句中的变量使用该函数即可，如：
sql_zr(request("key"))

1、这个软件是给对asp脚本编程不太熟悉的人用的！对你这样的高手也就不用来取笑我了吧！ [s:52]  
2、如果你没看的话，最好看一下再下定论！
3、对你说的文章的表单过滤的，这个版本我已经添加上去了！可以自行设置的！
4、你看一下你写的代码和我写的代码关键部分的差别，ok？
5、你的想法和sql通用防注入的程序的思想是一样的，不信的话你可以看一下，sql通用是为了适合更多的刚接触asp的朋友使用！
6、之所以又发布了这个更新版本，是现在已经有了针对以前的sql通用防注入的绕过手法，虽然不能够入侵，但是对于网站也不是很安全的，我作为这个sql通用的又一个个作者，应该对这个软件的负责！

呵呵，SQL防注入又出新版本了啊，neeao好勤快的说～
新加入对Cookies的过滤，够BT啊，不过如果合法的Cookies里面含有被过滤字符或者利用跨站向用户Cookies写入被过滤字符，那么那个倒霉的家伙在清除Cookies之前就一直不能上那个网站了……[s:51]

引用:

下面是引用lake2于2005-12-04 20:07发表的:
呵呵，SQL防注入又出新版本了啊，neeao好勤快的说～
新加入对Cookies的过滤，够BT啊，不过如果合法的Cookies里面含有被过滤字符或者利用跨站向用户Cookies写入被过滤字符，那么那个倒霉的家伙在清除Cookies之前就一直不能上那个网站了……[s:51]

其实cookies的过滤在你那文章出来后就想加入了，不过那时候还没人成功利用！也就拖到现在才写出来了！呵呵！

引用:

下面是引用光芒果于2005-12-11 13:14发表的:
我发现的那个3.0的漏洞不知道补了没有啊？

很早都补上了，阻止ip访问就是了！^_^！

引用:

引用第7楼下雨天于2006-01-08 22:38发表的:
呵呵，顶一下，上次和你说到这个，想不到你就做出来了，为那些网站管理员省了不少事啊：）

他也为那些搞站的兄弟 增加了负担

引用:

引用第5楼neeao于2005-12-04 20:35发表的 :

其实cookies的过滤在你那文章出来后就想加入了，不过那时候还没人成功利用！也就拖到现在才写出来了！呵呵！

我利用COOKIES绕过你的通用注入版用了半年了,是一直不想公布出来而已

看了看代码,没别的意思,只是提出点自己的意见,你在COOKIES中过滤了;,;号在COOKIES中是必要的分割符
a102_lastfid=10; aa102_ol_offset=2716; aa102_ipstate=1198848540; __utma=90381965.1847721298.1198612762.1198848651.1198849595.3; __utmz=90381965.1198848651.2.2.utmccn=(organic)|utmcsr=baidu|utmctr=%D0%B0%B0%CB|utmcmd=organic; aa102_cknum=AwUNW1QFUAUFBzo%2FCF4BB1BTAlcGUlNQUFdXDANQBlMFAwBWA1FXAlpXVVQ%3D; aa102_ck_info=%2F%09; aa102_winduser=BwMMVlo9VQMCVFUPBV8NVAcCVwECVQYHAVQGUAMBAldRAwEAC1A%3D; aa102_lastvisit=943%091198849483%09%2Fread.php%3Ftid%3D16897%26page%3De%26; __utmb=90381965; aa102_ipfrom=d9d50d8d4da4e8e2fe3a1e4ea8324f46%09Unknown; __utmc=90381965
上面是我在邪八的COOKIES,你看看当中有多少个:号,如果说在cookies中也过虑分号,那很多网站如果真的要调用COOKIES信息都没用了.....