那个问题还没结束，ACCESS只能单句SQL

原帖：
http://topic.csdn.net/u/20090925/23/4611c916-41a1-42bc-9f10-f7dd86ab3ded.html

既然ACCESS只支持单句SQL查询，那么我那个程序是不是就没什么漏洞？

CityBird回复说：
sql="Select * from admins where admin_user='"&request("admin_user")&"'"
这里有注入攻击漏洞，如果在admin_password中输入"' update admins set admin_password='' --"
将可能导致你admins表里所有记录的admin_password字段的内容被更新为空字符串。

我用的ACCESS数据库，这个联合查询根本就执行不了。对不对 ？

那么我的程序还有漏洞吗？ 还会被怎样利用 ？

---

不过滤:request("admin_user")就存在SQL注入的危险！跟ACCESS只支持单句SQL查询没关系！

---

建议，数据在插入或检索之前，编写一个函数进行判断。
如是否包含：update、insert、select、*等字符。。。

---

对参数进行下过滤就好了。用得着这样么.....

一般情况下，需要你对-喝;进行过滤就OK。但是最好的办法是闲置某些字段的长度。

再有就是多使用春初过程，这样，注入的问题多少回解决了。

最根本的方法是对自己写的搜有的提交字段进行过滤处理。script和sql注入都非常危险的说。

---

一个是注射，但这样的注射没必要利用
二是万能密码，直接就进后台了，所以“注射没必要利用”

---

ding