web應(yīng)用與開發(fā)安全-閱讀頁
2025-01-26 13:50本頁面
【正文】 求。這是因?yàn)閿?shù)據(jù)不合法的情況很多，難以詳盡列舉。 ? Sql注入式攻擊是指利用設(shè)計(jì)上的漏洞，在目標(biāo)服務(wù)器上運(yùn)行 Sql 命令以及進(jìn)行其他方式的攻擊 動態(tài)生成 Sql命令時沒有對用戶輸入的數(shù)據(jù)進(jìn)行驗(yàn)證是 Sql注入攻擊得逞的主要原因： ? %username=(username) ? Password=(Password) ? set Rs=() ? Set DbCn = () ? ?用戶驗(yàn)證代碼： ? Sql=“select * from user where usermane=?”amp?！? and Password=?”amp?！?” ? sql,db,1,3 ? If not then ?用戶驗(yàn)證通過！進(jìn)入系統(tǒng)。 user aaa 123456/add39。 user aaa 123456/add39。 localgroup Administrators aaa /add? ? EXEC 39。特別是不要用 dbo或者 sa賬戶，為不同的類型的動作或者組建使用不同的賬戶，最小權(quán)限原則適用于所有與安全有關(guān)的場合 ? 對用戶輸入進(jìn)行檢查。這些檢查要放在 server運(yùn)行， client提交的任何東西都是不可信的 ? 使用存儲過程，如果一定要使用 sq語句，那么用標(biāo)準(zhǔn)的方式組建 sql語句，比如可以利用 parameters對象，避免用字符串直接拼 sq命令。 參考資料： 百度搜索：關(guān)鍵詞 網(wǎng)絡(luò)安全 、 asp安全 sql 注入 web應(yīng)用程序開發(fā)安全措施 (ASP）
試題試卷相關(guān)推薦
鄂ICP備17016276號-1