SQL注入攻击防范技巧
SQL注入攻击防范技巧
一般的SQL注入攻击都是通过构建一条复杂的sql语句，
通过网页漏洞来执行sql语句，达到攻击数据库的目的。
如通过文章ID来查询某一篇文章的网页，
通常采用的sql语句为：
sql="select top 1 * from articles where articId="&request("id")
那么可以简单地构建一条攻击语句：
传入id变量的值为：1; select getDate(); --
从而构建了一条新的sql语句：
select top 1 * from articles where articId=1;
select getDate(); --
虽然这条语句并不能对数据库产生任何负面影响，
但是其它的攻击语句也是这样通过添加语句分隔符;和注释符号--来组成的。
我们的防范技巧，对所有可以提交传入的变量进行处理：
1、int类型的数据，如上例中的id，则使用以下方法处理：
<%
on error resume next
id = CInt(request("id"))
%>
2、字符串类型的数据，则进行常见的标点符号过滤处理：
<%
str = request("str")
str = replace(str, "´", "") ´将单引号字符过滤掉
str = replace(str, ";", "") ´将分号过滤掉
´...
%>
其他字符不一一枚举，你可以写一个字符过滤的函数，过滤一些在你的网站当中
并不常用的有危险性的符号；也可以采用正则表达式来进行过滤；
相关文档：
代码如下：
EXEC sp_rename '表名.[原列名]', '新列名', 'column'
*************************************************************************
Transact-SQL 参考
sp_rename
更改当前数据库中用户创建对象（如表、列或用户定义数据类型）的名称。
示例
A. 重命名表
下例将表 customers 重命名为 custs。 ......
通配符_
"_"号表示任意单个字符,该符号只能匹配一个字符."_"可以放在查询条件的任意位置,且只能代表一个字符.一个汉字只使用一个"_"表示.
例子：
if PATINDEX('%[吖-做]%','需要判断的字符')>0 -- 判断是否有字符
print '有汉字'
else
print '无汉字'
通配符%
"%"符号是字符匹配符,能匹配0个或更多字符的任意长� ......
1. SET DEADLOCK_PRIORITY
说明：控制在发生死锁情况时会话的反应方式。如果两个进程都锁定数据，并且直到其它进程释放自己的锁时，每个进程才能释放自己的锁，即发生死锁情况。
语法：SET DEADLOCK_PRIORITY { LOW | NORMAL | @deadlock_var }
参数：LOW ......
原理：对需要去重复记录的字段按组排序，然后取其中一条记录。在总查询语句中使用in语法过滤
去掉重复记录
select * from company where comid in (select Max(comid) from company group by companyname)
得到重复记录数
select * from company where comid not in (select Max(comid) from company group by companyn ......
在使用SQL*Plus生成报告文件的时候，往往会因为其默认的设置导致输出的结果非常的没有可读性，下面介绍一个日常中会被用到的一个脚本，其中包含一些格式化
输出的set命令
，为了方便理解，我会在每一条set命令之后紧跟着一个简单的解释，请慢慢体会。
sqlplus -s user_name/user_password << EOF >/dev/n ......
