奇风's Blog

ASP编程防范“OR=OR”

表单提交页面：sub.htm

管理员:

密　码:

SUB.asp程序
<%
接收表单中的数据
user=request.from("UserID")
检察表单提交的数据是否为空(表单页面可能你用javascript or VBSCRIPT控制了，但这里也不要忘记控制！
if user="" then
转到出错提示页面！
response.redirect "err1.htm"
这一句可能没用，但加上为好！
response.end
end if
pass=request.from("Pass")
if pass="" then
response.redirect "err2.htm"
response.end
end if
联接数据库
file=server.mappath("你的数据库")
set conn=server.createobject("adodb.connection")
dr="driver={microsoft access driver (*.mdb)};dbq="&file
conn.open dr
set rs=server.createobject("adodb.recordset")
关键是这里的SQL语言
sql="select * from 表 where user= "&user&" and pass= "&pass&" "
rs.open sql
if not rs.eof then
找到的话就进入管理页面
reponse.redirect "login.asp"
else
没找到就进入错误页面
response.write "err3.htm"
end if
%>

大家感觉以上代码应该没问题啊，但是这里有一个严重的安全隐患：

我如果想登录管理员的话可以在SUb.htm表单输入框中输入：

第一个文本框中输入：a or 1 = 1 或 or =
第二个文本框中输入：a or 1 = 1 或 or =

提交，大家会看到…"呜，听我说完好不好，砖头一会再丢过来…"

"a " 和"1"为任意字符

有人会问为什么你输入这些字符会以管理员身份进入呢？？

其实这些字符是对你程序中SQL语言的欺骗，而成功进入的

大家看：开始程序SQL中是对表进行查询满足user= "&user&" and pass= "&pass&" "条件的记录

sql="select * from 表 where user= "&user&" and pass= "&pass&" "

我而输入上面的代码后就成了：

sql="select * from 表 where user= a or 1 = 1 and pass= a or 1 = 1 "

大家看看，能有不进入的理由吗？？给我一个不进入的理由，先！

以上USER PASS字段为字符型 如果是数字型也一样的道理！

●解决方法：

一、函数替代法：

用REPLACE将用户端输入的内容中含有特殊字符进行替换，达到控制目的啊！：）

sql="select * from 表 where user= "&replace(user," "," ")&" and pass= "&replace(pass," "," ")&" "

这种方法每次只能替换一个字符，其实危险的字符不只是" "，还有如">"、"<"、"&"、"%"等字符应该全控制起来。但用

REPLACE函数好象不太胜任那怎么办呢？？

二、程序控制法

用程序来对客户端输入的内容全部控制起来，这样能全面控制用户端输入的任何可能的危险字符或代码，我就用的这个方法！：）

举例说明：

<%
捕捉用户端提交的表单内容
user=request.from("user")
pass=request.from("pass")
...
循环控制开始
for i=1 to len(user)
用MID函数读出变量user中i 位置的一个字符
us=mid(user,i,1)
将读出的字符进行比较
if us=" " or us="%" or us="<" or us=">" or us="&" then
如果含有以上字符将出错提示，不能含有以上特殊字符
response.redirect "err2.htm"
response.end
end if
next
…
%>

何谓网恋？

所谓网恋，就是一根电话线，两颗寂寞心，三更半夜里，四目不相见，十指来传情。

　　所谓网恋，就是电脑和电脑诉衷肠，键盘与键盘说情话，鼠标和鼠标谈恋爱。

　　所谓网恋，就是聊天时“让我的爱飘过你的网”，就是停电时“我寂寞的心只有你最懂”。

　　所谓网恋，就是聊天室爱情。聊天室是爱情超市，总有一件任你挑选。

　　所谓网恋，就是QQ上的爱情。QQ上的头像如繁星，总有一颗为你点亮。

　　所谓网恋，就是BBS上的爱情。BBS弥漫万千风情，总有一番情怀为你敞开。

　　所谓网恋，就是一款软件。这款软件具有练习打字的功能，网恋也许成不了爱情专家，应聘打字员岗位应该不在话下。

　　所谓网恋，就是一项游戏。此项游戏简单易行，两个ID，各备鸡、猫、鼠一只，然后反复击打键盘，便可体验心跳的感觉。

　　所谓网恋，就是一种病毒。这种病毒发作时，开机容易关机难，并反复出现“我爱你我爱你我爱你”之类的乱码。

　　所谓网恋，就是健身方案。网恋长路漫漫，不用打球跑步，便可达到锻炼之效；恋途崎岖险峻，不用吃苦登高，便可领略瑰丽风景。日久则成钢铁之躯，百毒不侵。

　　所谓网恋，就是瘦身计划。一种相思，两处闲愁，为伊消得人憔悴。网恋之美在于距离，而现代人以瘦为美，反证网恋之正确性与必要性。

　　所谓网恋，就是一种运动。且看早起跑步之人，有胖人有瘦人，胖的想瘦瘦的想胖，想想真是费劲，不如大家都来搞网恋。“开展网恋运动，增强人民体质。”

　　所谓网恋，就是以屏幕当花月，一个人哭笑悲喜。

　　所谓网恋，就是站在镜子之前，面对自己谈情说爱。

　　所谓网恋，就是一场爱情预演，或者爱情温习。

　　所谓网恋，就是只爱一点点，只爱陌生人，只爱不言婚。

　　所谓网恋，就是见光死，不见光也死。

一个MM和他男朋友的情话

围巾

给LG织围巾的时候不知为何事与LG争辩，一气之下告诉他：“围巾不给你织了！”

　　

　　“那你给谁织？”LG瞪我。

　　

　　“管得着！就是捐献灾区也不给你！”

　　

　　“捐献灾区？“LG皱了皱眉头：“我一个人嫌弃你的手艺也就罢了，何必连累灾区人民。”

什么类型

和LG一起看电视，广告中一出现美女LG便两眼放光：“美女~~~”

　　

　　在他第N次两眼放光时，我忍不住问他：“你到底喜欢什么类型的美女啊？“

　　

　　他很努力的想。我提示他：“是不是很妩媚的那种？你不是最喜欢COCO嘛。“

　　

　　LG拼命点头：“对啊对啊~~咦，不对，我还喜欢李鞍啊，她不是妩媚型的。“

　　

　　“那我属于什么类型啊？“

　　

　　“你啊……属于乱七八糟型。“

　　

　　“你再说一次试试看……“

　　

　　“不是的，你是属于……属于……“LG想得十分辛苦的样子，我瞪着他。

　　

　　“对啦~~~你是属于–MIKE喜欢型~~嘿嘿~~“

减肥记

LG突然跟我说：“我觉得你胖了。“

　　

　　吓了一大跳，赶紧去称了一下体重，50KG，比以前胖了1KG。恨恨地瞪了LG一眼：

　　

　　“TMD，才两斤肉啊，我都没感觉你居然就知道了。“

　　

　　

　　于是决定减肥。

　　

　　“我要去买根绳子。“我对LG宣布。

　　

　　LG大为紧张：“宝宝不要这么想不开啊，就是胖了点，不需要寻短见吧……“

　　

　　一脚踹了过去：“你巴不得我死啊，我只是想跳绳减肥！“

　　

　　“哦–“LG松了口气，然后瞅瞅四周：“老婆你真打算跳绳啊，我怕你会把楼跳塌了……“

　　

　　恶狠狠的一口咬下去：“死小子，我是100斤，你当我是100公斤啊！！！！“

　　

　　因为缺少运动细胞加上懒惰，最终决定节食，也因为上班忙碌，常常忘了吃早饭，有一 天胃痛，赖在床上不肯上班。

　　

　　LG在电话里絮絮叨叨：“老婆去医院看看啊，我是叫你运动减肥啊，谁让你不吃饭的，看看现在胃病都出来了，跳绳容易把楼跳塌你可以练呼啦圈啊……“

　　

　　这死小子，到这时候了居然还在取笑我。怒从心头起：“你敢嫌我胖啊！“

　　

　　LG还在不知死活的继续游说：“老婆练呼啦圈嘛~~~“

　　

　　“你还嫌我胖！！！！！“

　　

　　“哦，不嫌弃的不嫌弃的。“他终于听出我的怒气。

　　

　　“哼，不嫌弃还让我减肥！现在好了，都折腾出胃病来了，你赔你赔你赔！！！“

　　

　　“好好好，我赔！“

　　

　　“赔什么啊？“

　　

　　LG想了想，做痛下决心状：“我就以身相许吧！”

逛街

LG喜欢逛街。这点我一直觉得他有异于别的男孩子，虽然他逛街看美女的时间比看衣服多。

　　

　　和LG逛街听到他说的最多的话就是：“刚才过去一个美女……“（吸住口水的声音）

　　

　　我通常是头也不回：“看到帅哥记得告诉我。“

　　

　　他马上把脸凑到我眼前：“看吧！帅哥！“

　　

　　我和LG都喜欢逛礼品店，喜欢可爱或者奇异的小玩意。

　　

　　很多店都会把很可爱的小猫小狗小猪挂在店堂上方做装饰。我通常一进店门就会和LG说：“你跑这么高挂上面做什么。“然后LG就会在众多小动物中仔细搜索，直到发现一只小猪挂在上面，就回头怒视我：“明明是你！“（我都觉得奇怪，这么多小动物，他为什么一定认为我是拿那只小猪形容他呢？）

　　此后LG和我逛街只要看到小猪造型的玩具，他就会和我抢着说：“这个是你。“说得比我慢了就怒目相向，好象被我一说他真的就成了那只小猪，说得比我快了就得意洋洋，好象我就成了那只小猪。

　　

　　一次我看中一只抱抱熊，在柜台的最上面，我正想叫他帮我拿，却见他指着自己前面一只超可爱的小猪扑满念念有辞：“这个是你……“

　　

　　我扯扯他的衣服：“把上面那只抱抱熊拿过来。“

　　

　　他把抱抱熊拿给我后又指着那只小猪扑满最后确认似的跟我重复了一次：“这个是你！“

　　

　　……￥％……-*$％^&&*$##

关于“猪”

我喊他小猪。

　　

　　他颇有意见：“我哪里象猪了？“

　　

　　敲他的头：“笨啊，只是爱称嘛，你要象猪谁要你啊。“

　　

　　他若有所思的看我：“我觉得你倒蛮象小猪的，这么懒这么能吃还这么能睡。“

　　

　　我恶狠狠的瞪他：“你说谁？？？“

　　

　　“没有没有，不是说你……“他笑容满面。

　　

　　刚一转身，听见他小声嘀咕：“这年头，说真话不保险啊……“

　　

　　看杂志的时候看到一项调查，女孩子大都喜欢喊自己的爱人“小猪“。

　　

　　大喜，急忙拿给他看：“是潮流哦，原来这么多MM英雄所见略同啊。“

　　

　　得意中……

　　

　　却见他不解的看我：“你们女孩子都这么喜欢做母猪？“

　　

　　￥％……-*$％^&&*$##

　　

　　他加班到很晚，回家已是困的睁不开眼。听见我喊他小猪，他趴在床上开始嘀咕：“还是做猪比较幸福哦，每天可以吃了睡睡了吃，什么事都不用做。“

　　

　　“是呀，最后被送到屠宰场。“我拍拍他的头。

　　

　　“那太惨了点！“他突然睁开眼睛十分清醒的说：“还是做种猪比较好！“

　　

　　等我反应过来他已经睡得象只死猪……

爱要怎么说出口

　　

　　“你是不是不喜欢我了？“我问他。

　　

　　“谁说的。“他看杂志，头也不抬。

　　

　　“我说的！“

　　

　　“有什么证据？“

　　

　　“那你爱我吗？“

　　

　　“恩！“

　　

　　“恩是什么意思？“

　　

　　“L-O-V-E“（每个字母分开念）

　　

　　“不许说鸟语。“

　　

　　他想了想“W-O A-I N-I“（按英语字母的发音，继续每个字母分开念）

　　

　　“听不懂！“

　　

　　没辙。

　　

　　“爱！“

　　

　　“爱谁？“

　　

　　“你！“

　　

　　“把话说完整了！“

沉默……

　　

　　“说不说？不说不许吃饭不许睡觉！“

　　

　　妥协。

　　

　　“我爱你！“

　　

　　胜利!

　　

　　“这可是你自愿说的哦，我可没逼你哦。“

　　

　　￥％……-*$％^&&*$##

卖玫瑰的小女孩

　　

　　和LG去火知了酒吧。在门口被一卖花的小女孩拦住。

　　

　　“哥哥买束玫瑰送给你的女朋友吧。“

　　

　　无视。

　　

　　小女孩不屈不挠：“哥哥，买束玫瑰送给你的女朋友吧，鲜花送美女呀。“

　　

　　LG马上停下脚步四下张望：“啊？美女？美女呢？在哪？“

昨天去了南京看了看

奇风 发表于 2005-4-16 10:39:00
俺是老实人，不说瞎话的：坐了33路公交车那个挤啊，俺就省喘气的份了

没事了，找个上网的地——傲天网络，靠机子真太好，就是贵

明天决定写点文章，应该写的吧
0

童话MTV

http://promise.cnxhacker.net/music/tonghuamtv.wmv
歌手:光良 專輯:童話

忘了有多久,
再沒聽到你,
對我說你最愛的故事,
我想了很久,
我開始慌了,
是不是我又做錯了什麽,
你哭著對我說,
童話裏都是騙人的,
我不可能是你的王子,
也許你不會懂,
從你說愛我以後,
我的天空星星都亮了,
我原變成童話裏,
你愛的那個天使,
張開雙手變成翅膀守護你,
你要相信,
相信我們會像童話故事裏,
幸福和快樂是結局,
你哭著對我說,
童話裏都是騙人的,
我不可能是你的王子,
也許你不會懂,
從你說愛我以後,
我的天空星星都亮了,
我願變成童話裏,
你愛的那個天使,
張開雙手變成翅膀守護你,
你要相信,相信我們會像童話故事裏,
幸福和快樂是結局,
我要變成童話裏,
你愛的那個天使 ,
張開雙手變成翅膀守護你,
你要相信,
相信我們會像童話故事裏,
幸福和快樂是結局,
我會變成童話裏,
你愛的那個天使,
張開雙手變成翅膀守護你,
你要相信,
相信我們會像童話故事裏,
幸福和快樂是結局,
一起寫我們的結局…