解决SQL Injection漏洞的一个函数
解决SQL Injection漏洞的一个函数
http://blog.csdn.net/cncco/archive/2006/04/07/654254.aspx
函数
<%
Function CheckInput(str,strType)
'函数功能：过滤字符参数中的单引号，对于数字参数进行判断，如果不是数值类型，则赋值0
'参数意义： str ---- 要过滤的参数
' strType ---- 参数类型，分为字符型和数字型，字符型为"s"，数字型为"i"
Dim strTmp
strTmp = ""
If strType ="s" Then
strTmp = Replace(Trim(str),"'","'")
ElseIf strType="i" Then
If isNumeric(str)=False Then str="0"
strTmp = str
Else
strTmp = str
End If
CheckInput = strTmp
End Function
%>
这个函数很简单， 主要是针对字符串和数字两种类型的传入数据分别进行了处理，具体用法：
字符类型的
strUsername = CheckInput(Request(“username“),“s“)
数字类型的
ID = CheckInput(Request(“id“),“i“)
SQL Injection的危害是很大的，比如对于SQL Server，可以创建、删除数据库，执行系统命令等等， 如drop table tbl_name, execute master.dbo.xp_cmdshell "command"所以很多人写的函数就是拼命的去过滤这些可能引起危害的关键词，比如drop ,分号,and,exe,mid等等，罗列了一大堆。
其实，尽可以不必那么繁琐，非要把简单的事情复杂化。
对于过滤，ASP中只要针对字符型和数字型分别处理就可以了，
字符型的，把单引号转换成两个单引号 strTmp = Replace(Trim(str),"'","'")
数字型的，就判断是否能够转换成数字型的 ，用 isNumeric函数
现在网上说的能够绕过单引号的攻击，其实是针对数字类型的,如果对于过滤了单引号的字符型，还有办法绕过，那就没得玩了........
本文来自CSDN博客，转载请标明出处：http://blog.csdn.net/cncco/archive/2006/04/07/654254.aspx
相关文档：
Student(S#,Sname,Sage,Ssex) 学生表
Course(C#,Cname,T#) 课程表
SC(S#,C#,score) 成绩表
Teacher(T#,Tname) 教师表
问题：
1、查询“001”课程比“002”课程成绩高的所有学生的学号；
select a.S# from (select s#,score from SC where C#='001') a,(select s#,score
from SC wher ......
--查询每个人订饭的次数
select username as 姓名, count(*) as 次数 from orderitems group by UserName having count(*)=1
order by 姓名 desc
select distinct username as 未注册姓名 from orderitems
where username not in (select [Name] from Person)
select distinct username as 已注册姓名 fr ......
1.一个月第一天的
Select DATEADD(mm, DATEDIFF(mm,0,getdate()), 0)
2.本周的星期一
Select DATEADD(wk, DATEDIFF(wk,0,getdate()), 0)
3.一年的第一天
Select DATEADD(yy, DATEDIFF(yy,0,getdate()), 0)
4.季度的第一天
Select DATEADD(qq, DATEDIFF(qq,0,getdate()), 0)
5.当天的半夜
Select DATEADD(dd, DAT ......
sql server 还原一个数据到具体的时间
数据库的附加:
sp_attach_db mark ,'C:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Data\mark.mdf'
数据库的分离:
sp_deattach_db mark ,'C:\Program Files\Microsoft SQL
Server\MSSQL.1\MSSQL\Data\mark.mdf'
数据库的完全备份:
backup database mark to disk ......
VB实现SQL Server数据库备份/恢复
http://blog.csdn.net/cncco/archive/2006/05/15/729356.aspx
’**模 块 名：fBackupDatabase_a
’**描 述：备份数据库,返回出错信息,正常恢复,返回""
’**调 用：fBackupDatabase_a "备份文件名","数据库名"
’**参数说明� ......
