㈠ 网站检测后显示sql注入漏洞（盲注），请高手提供解决办法，谢谢
找专业做网站安全的公司来给你解决，国内最有名的安全公司也就绿盟和sinesafe！
建站一段时间后总能听得到什么什么网站被挂马，什么网站被黑，被攻击。好像入侵挂马似乎是件很简单的事情。其实，入侵不简单，简单的是你的网站的必要安全措施并未做好。
有条件建议找专业做网站安全的sine安全来做安全维护。
一：挂马预防措施：
1、建议用户通过ftp来上传、维护网页，尽量不安装asp的上传程序。
2、定期对网站进行安全的检测，具体可以利用网上一些工具，如sinesafe网站挂马检测工具！
序，只要可以上传文件的asp都要进行身份认证!
3、asp程序管理员的用户名和密码要有一定复杂性，不能过于简单，还要注意定期更换。
4、到正规网站下载asp程序，下载后要对其数据库名称和存放路径进行修改，数据库文件名称也要有一定复杂性。
5、要尽量保持程序是最新版本。
6、不要在网页上加注后台管理程序登陆页面的链接。
7、为防止程序有未知漏洞，可以在维护后删除后台管理程序的登陆页面，下次维护时再通过ftp上传即可。
8、要时常备份数据库等重要文件。
9、日常要多维护，并注意空间中是否有来历不明的asp文件。记住：一分汗水，换一分安全!
10、一旦发现被入侵，除非自己能识别出所有木马文件，否则要删除所有文件。
11、对asp上传程序的调用一定要进行身份认证，并只允许信任的人使用上传程序。这其中包括各种新闻发布、商城及论坛程
二：挂马恢复措施：
1.修改帐号密码
不管是商业或不是，初始密码多半都是admin。因此你接到网站程序第一件事情就是“修改帐号密码”。帐号
密码就不要在使用以前你习惯的，换点特别的。尽量将字母数字及符号一起。此外密码最好超过15位。尚若你使用
SQL的话应该使用特别点的帐号密码，不要在使用什么什么admin之类，否则很容易被入侵。
2.创建一个robots.txt
Robots能够有效的防范利用搜索引擎窃取信息的骇客。
3.修改后台文件
第一步：修改后台里的验证文件的名称。
第二步：修改conn.asp，防止非法下载，也可对数据库加密后在修改conn.asp。
第三步：修改ACESS数据库名称，越复杂越好，可以的话将数据所在目录的换一下。
4.限制登陆后台IP
此方法是最有效的，每位虚拟主机用户应该都有个功能。你的IP不固定的话就麻烦点每次改一下咯，安全第一嘛。
5.自定义404页面及自定义传送ASP错误信息
404能够让骇客批量查找你的后台一些重要文件及检查网页是否存在注入漏洞。
ASP错误嘛，可能会向不明来意者传送对方想要的信息。
6.慎重选择网站程序
注意一下网站程序是否本身存在漏洞，好坏你我心里该有把秤。
7.谨慎上传漏洞
据悉，上传漏洞往往是最简单也是最严重的，能够让黑客或骇客们轻松控制你的网站。
可以禁止上传或着限制上传的文件类型。不懂的话可以找专业做网站安全的sinesafe公司。
8. cookie 保护
登陆时尽量不要去访问其他站点，以防止 cookie 泄密。切记退出时要点退出在关闭所有浏览器。
9.目录权限
请管理员设置好一些重要的目录权限，防止非正常的访问。如不要给上传目录执行脚本权限及不要给非上传目录给于写入权。
10.自我测试
如今在网上黑客工具一箩筐，不防找一些来测试下你的网站是否OK。
11.例行维护
a.定期备份数据。最好每日备份一次，下载了备份文件后应该及时删除主机上的备份文件。
b.定期更改数据库的名字及管理员帐密。
c.借WEB或FTP管理，查看所有目录体积，最后修改时间以及文件数，检查是文件是否有异常，以及查看是否有异常的账号。
网站被挂马一般都是网站程序存在漏洞或者服务器安全性能不达标被不法黑客入侵攻击而挂马的。
网站被挂马是普遍存在现象然而也是每一个网站运营者的心腹之患。
您是否因为网站和服务器天天被入侵挂马等问题也曾有过想放弃的想法呢，您否也因为不太了解网站技术的问题而耽误了网站的运营，您是否也因为精心运营的网站反反复复被一些无聊的黑客入侵挂马感到徬彷且很无耐。有条件建议找专业做网站安全的sine安全来做安全维护。
㈡ 提示有SQL注入漏洞
strSql="select * from user where 用户名='"&Uname&"' and 密码='"&Upass&"'"
改成：
strSql="select * from user where 用户名='"&Replace(Uname,"'", "''")&"' and 密码='"&Replace(Upass,"'", "''")&"'"
就是说，把单引号替换成2个单引号，就可以避免字符串型的注入漏洞了
如果是int型，就不能用Replace了，而要在拼接sql前判断是否数字
㈢ asp程序存在SQL注入漏洞如何处理
你都知道有SQL注入了，就在传值那处理好别人提交的数据，把特殊符号过滤掉 我找了一些函数你看看1、SQL注入漏洞可谓是“千里之堤，溃于蚁穴”，这种漏洞在网上极为普遍，通常是由于程序员对注入不了解，或者程序过滤不严格，或者某个参数忘记检查导致。在这里，我给大家一个函数，代替ASP中的Request函数，可以对一切的SQL注入Say NO，函数如下： Function SafeRequest(ParaName,ParaType)
'--- 传入参数 ---
'ParaName:参数名称-字符型
'ParaType:参数类型-数字型(1表示以上参数是数字，0表示以上参数为字符) Dim ParaValue
ParaValue=Request(ParaName)
If ParaType=1 then
If not isNumeric(ParaValue) then
Response.write "参数" & ParaName & "必须为数字型！"
Response.end
End if
Else
ParaValue=replace(ParaValue,"'","''")
End if
SafeRequest=ParaValue
End function 2、几年时间，当年的伙计已经成为一个国内知名黑客组织的站长，在他的程序有也有些放黑的代码，贴出来给朋友们提提供个方便<%
rem 检查sql字符串中是否有单引号，有则进行转化
function CheckStr(str)
dim tstr,l,i,ch
l=len(str)
for i=1 to l
ch=mid(str,i,1)
if ch="'" then
tstr=tstr+"'"
end if
tstr=tstr+ch
next
CheckStr=tstr
end function
%><%
''--------定义部份------------------
Dim Fy_Post,Fy_Get,Fy_In,Fy_Inf,Fy_Xh,Fy_db,Fy_dbstr
''自定义需要过滤的字串,用 "防" 分隔
Fy_In = "''防;防and防exec防insert防select防delete防update防count防*防%防chr防mid防master防truncate防char防declare防<防>防=防|防-防_"
Fy_Inf = split(Fy_In,"防")
If Request.Form<>"" Then
For Each Fy_Post In Request.FormFor Fy_Xh=0 To Ubound(Fy_Inf)
If Instr(LCase(Request.Form(Fy_Post)),Fy_Inf(Fy_Xh))<>0 Then
Response.Write "<Script Language=JavaScript>alert('网长友情提示黑客大侠↓\n\n请不要在参数中包含非法字符尝试注入攻击本站,本站做起来很不容易的.俺是菜鸟,好怕怕,放俺一马吧\n\nQQ:6407443\n\n有话好话,请用QQ和俺联系');</Script>"Response.Write "非法操作！本站已经给大侠您做了如下记录↓<br>"
Response.Write "操作ＩＰ："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
Response.Write "操作时间："&Now&"<br>"
Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
Response.Write "提交方式：ＰＯＳＴ<br>"
Response.Write "提交参数："&Fy_Post&"<br>"
Response.Write "提交数据："&Request.Form(Fy_Post)
Response.End
End If
Next
Next
End If
If Request.QueryString<>"" Then
For Each Fy_Get In Request.QueryString
For Fy_Xh=0 To Ubound(Fy_Inf)
If Instr(LCase(Request.QueryString(Fy_Get)),Fy_Inf(Fy_Xh))<>0 Then
Response.Write "<Script Language=JavaScript>alert('网长友情提示黑客大侠↓\n\n请不要在参数中包含非法字符尝试注入攻击本站,本站做起来很不容易的.俺是菜鸟,好怕怕,放俺一马吧\n\nQQ:6407443\n\n有话好话,请用QQ和俺联系');</Script>"
Response.Write "非法操作！本站已经给大侠您做了如下记录↓<br>"
Response.Write "操作ＩＰ："&Request.ServerVariables("REMOTE_ADDR")&"<br>"
Response.Write "操作时间："&Now&"<br>"
Response.Write "操作页面："&Request.ServerVariables("URL")&"<br>"
Response.Write "提交方式：ＧＥＴ<br>"
Response.Write "提交参数："&Fy_Get&"<br>"
Response.Write "提交数据："&Request.QueryString(Fy_Get)
Response.End
End If
Next
Next
End If
%>
<%
dim conn
dim connstr
on error resume next
'DBQ="+server.mappath("admin/admins_news.mdb")+";
'"driver={Microsoft Access Driver (*.mdb)};dbq=" & server.mappath("db.MDB")
set conn=server.createobject("ADODB.CONNECTION")
connstr="DBQ="+server.mappath("admin/admins_news.mdb")+";DefaultDir=;DRIVER={Microsoft Access Driver (*.mdb)};"
conn.open connstr
%>3、通用的SQL防注入程序一般的http请求不外乎get 和 post,所以只要我们在文件中过滤所有post或者get请求中的参数信息中非法字符即可，所以我们实现http 请求信息过滤就可以判断是是否受到SQL注入攻击。
IIS传递给asp.dll的get 请求是是以字符串的形式，，当 传递给Request.QueryString数据后，asp解析器会分析Request.QueryString的信息，，然后根据"&"，分出各个数组内的数据所以get的拦截如下：
首先我们定义请求中不能包含如下字符：
引用:
--------------------------------------------------------------------------------
|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare
--------------------------------------------------------------------------------
各个字符用"|"隔开，，然后我们判断的得到的Request.QueryString，具体代码如下 ：
引用:
--------------------------------------------------------------------------------
dim sql_injdata
SQL_injdata = "'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare"
SQL_inj = split(SQL_Injdata,"|")
If Request.QueryString＜＞"" Then
For Each SQL_Get In Request.QueryString
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))＞0 Then
Response.Write "＜Script Language=****＞alert('天下电影联盟SQL通用防注入系统提示↓nn请不要在参数中包含非法字符尝试注入！');history.back(-1)＜/Script＞"
Response.end
end if
next
Next
End If
--------------------------------------------------------------------------------
这样我们就实现了get请求的注入的拦截，但是我们还要过滤post请求，所以我们还得继续考虑request.form,这个也是以数组形式存在的，我们只需要再进一次循环判断即可。代码如下：
引用:
--------------------------------------------------------------------------------
If Request.Form＜＞"" Then
For Each Sql_Post In Request.Form
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.Form(Sql_Post),Sql_Inj(Sql_DATA))＞0 Then
Response.Write "＜Script Language=****＞alert('天下电影联盟SQL通用防注入系统提示↓nn请不要在参数中包含非法字符尝试注入！＜/Script＞"
Response.end
end if
next
next
end if 4、以下代码是网上流行的枫叶防SQL注入通用版的代码,我在原来的基本上去掉一些内容，使之简单化.以代码拷进记事本，另存为asp文件。然后在数据库连接文件那里加上包含代码就行了，例如:
<!-- #include file="文件名" -->
以下是代码
<%
\'--------定义部份------------------
Dim Fy_Post,Fy_Get,Fy_In,Fy_Inf,Fy_Xh,Fy_db,Fy_dbstr
\'自定义需要过滤的字串,用 "枫" 分隔
Fy_In = "\'枫;枫and枫exec枫insert枫select枫delete枫update枫count枫*枫%枫chr枫mid枫master枫truncate枫char枫declare"
\'----------------------------------
%>
<%
Fy_Inf = split(Fy_In,"枫")
\'--------POST部份------------------
If Request.Form<>"" Then
For Each Fy_Post In Request.Form
For Fy_Xh=0 To Ubound(Fy_Inf)
If Instr(LCase(Request.Form(Fy_Post)),Fy_Inf(Fy_Xh))<>0 Then
Response.write"非法入侵"
Response.End
End If
Next
Next
End If
\'----------------------------------
\'--------GET部份-------------------
If Request.QueryString<>"" Then
For Each Fy_Get In Request.QueryString
For Fy_Xh=0 To Ubound(Fy_Inf)
If Instr(LCase(Request.QueryString(Fy_Get)),Fy_Inf(Fy_Xh))<>0 Then
Response.write"非法入侵"
Response.End
End If
Next
Next
End If
%>
\'----------代码结束-------------
以上代码重点在
Response.write"非法入侵"
你可以修改成通用的:
Response.write"处理url地址有错误，请与管理员联系"
也就是有人想入侵，就会提示"处理url地址有错误，请与管理员联系"
㈣ 我的网站存在SQL注入的漏洞,帮帮我吧!~
使用验证控件，严格控制输入的东西，使用正则表达式验证（这个东西，多学学吧，很游泳的）比如只能输入数字：[/d]；只能输入字母[a-z]
还有，这个也可以放弃直接在最上层调用sql语句，改为层次分明的架构，在上层就只是传递参数，下层才是调用数据库。
再一方法，调用存储过程。这个应该是比较安全的。
当然，如果你都用了，那就很安全了
㈤ SQL注入漏洞该怎么修复啊
防止注入漏洞，是一种设计理念啊。
具体点说，就是应该：
1、将页面的输入项拆分成数据项变量，通过函数调用的方式；
2、将变量传入处理函数，然后处理函数重新整理并判断变量的合法性；
3、最后将变量在函数内部整理成sql语句执行；
这样增加了页面提交数据的判断，可以比较有效的避免被注入的可能。
㈥ 检测漏洞有个SQL注入漏洞怎么修复
对输入值进行校验。
因为你这里传入的参数id是整型，适合你的，最简单的办法就是在后台先判断下id是否为整数，如果是继续执行，如果不是跳出。
这样，你的sql 注入漏洞就修复了。
㈦ 目标存在SQL注入漏洞。如何解决
现在很少网站有sql漏洞了，即使有也很难发现，可以用旁注查看，你可以在网站添加防注入代码，代码没有我可以提供，谢谢