网站注入与防范的方法

最近看到很多人的网站都被注入js,被iframe之类的。非常多。

本人曾接手过一个比较大的网站，被人家入侵了，要我收拾残局。。

1.首先我会检查一下服务器配置，重新配置一次服务器安全，可以参考
http://hi.baidu.com/zzxap/blog/item/18180000ff921516738b6564.html

2.其次，用麦咖啡自定义策略，即使网站程序有漏洞，别人也很难在文件上写入代码了。
参考自定义策略，有了这个策略，再烂的程序，你也无法写入我的文件
http://hi.baidu.com/zzxap/blog/item/efe093a7e0f2c190d04358ef.html

3.可以用网络超级巡警删除被注入的JS代码。
参考
http://hi.baidu.com/anlish/blog/item/ba45bb18eac77e0534fa4134.html

4.如何批量删除数据库中被注入的代码？
在数据库查询分析器运行这段代码即可

SQL code

   
   

    
    
    
    



    
    DECLARE

    
     

    
    @fieldtype

    
     sysname



    
    SET

    
     

    
    @fieldtype

    
    =

    
    '

    
    varchar

    
    '

    
    



    
    --

    
    删除处理

    
    



    
    DECLARE

    
     hCForEach 

    
    CURSOR

    
     GLOBAL



    
    FOR

    
    



    
    SELECT

    
     N

    
    '

    
    update 

    
    '

    
    +

    
    QUOTENAME

    
    (o.name)

    

    
    +

    
    N

    
    '

    
     set 

    
    '

    
    +

    
     

    
    QUOTENAME

    
    (c.name) 

    
    +

    
     N

    
    '

    
     = replace(

    
    '

    
     

    
    +

    
     

    
    QUOTENAME

    
    (c.name) 

    
    +

    
     

    
    '

    
    ,

    
    ''

    
    <script_src=http://ucmal.com/0.js> </script>

    
    ''

    
    ,

    
    ''''

    
    )

    
    '

    
    



    
    FROM

    
     sysobjects o,syscolumns c,systypes t



    
    WHERE

    
     o.id

    
    =

    
    c.id

    

    
    AND

    
     

    
    OBJECTPROPERTY

    
    (o.id,N

    
    '

    
    IsUserTable

    
    '

    
    )

    
    =

    
    1

    
    

    

    
    AND

    
     c.xusertype

    
    =

    
    t.xusertype

    

    
    AND

    
     t.name

    
    =

    
    @fieldtype

    
    



    
    EXEC

    
     sp_MSforeach_Worker 

    
    @command1

    
    =

    
    N

    
    '

    
    ?

    
    '

    
    





   
   

5.创建一个触发器，只要有 </script>就不给插入，对性能会有点影响

SQL code

   
   

    
    
    
    



    
    create

    
     

    
    trigger

    
     tr_table_insertupdate



    
    on

    
     tablename



    
    for

    
     

    
    insert

    
    ,

    
    update

    
    



    
    as

    
    



    
    if

    
     

    
    exists

    
     (



    
    select

    
     

    
    1

    
     

    
    from

    
     inserted 



    
    where

    
     data 

    
    like

    
     

    
    '

    
    %</script>%

    
    '

    
    

)



    
    begin

    
    

       

    
    RAISERROR

    
     (

    
    '

    
    不能修改或者添加

    
    '

    
    ,

    
    16

    
    ,

    
    1

    
    );

       

    
    ROLLBACK

    
     

    
    TRANSACTION

    
    



    
    end

    
    



    
    go

    
    





   
   

6.最重要的还是程序的写法，用参数化SQL或存储过程
例如

C# code

   
   

    
    
    
    

 

    
    protected

    
     

    
    void

    
     cmdok_Click(

    
    object

    
     sender, EventArgs e)

    {

        

    
    //

    
    添加信息

    
    



    
            StringBuilder  sql 

    
    =

    
     

    
    new

    
     StringBuilder( 

    
    "

    
     insert into m_phone ( pid,PhoneName,num,price,phonetype,onSellTime,color,weight,Video,Camera,phoneSize,phoneSystem,Memorysize,PhoneDesc,Standbytime,ScreenSize,Frequency,InputMethod,Soundrecord,gps,fm,mp3,email,Infrared,game,clock,Calendar,Calculator,Bluetooth)  

    
    "

    
    );



        sql.Append(

    
    "

    
     values (@pid,@TextPhoneName,@Textnum,@Textprice,@Dropphonetype2,@TextonSellTime,@Textcolor,@Textweight 

    
    "

    
    );

        

        .................



        SqlParameter[] paras 

    
    =

    
     { 

    
    new

    
     SqlParameter(

    
    "

    
    @pid

    
    "

    
    , SqlDbType.Int, 

    
    4

    
    ) ,

            

    
    new

    
     SqlParameter(

    
    "

    
    @TextPhoneName

    
    "

    
    , SqlDbType.NVarChar, 

    
    50

    
    ) , 

            

    
    new

    
     SqlParameter(

    
    "

    
    @Textnum

    
    "

    
    , SqlDbType.Int, 

    
    4

    
    ) ,

            

    
    new

    
     SqlParameter(

    
    "

    
    @Textprice

    
    "

    
    , SqlDbType.Int, 

    
    4

    
    ) ,

            

    
    new

    
     SqlParameter(

    
    "

    
    @Dropphonetype2

    
    "

    
    , SqlDbType.VarChar, 

    
    20

    
    ) ,

            

    
    new

    
     SqlParameter(

    
    "

    
    @TextonSellTime

    
    "

    
    , SqlDbType.DateTime, 

    
    8

    
    ) ,

            

    
    new

    
     SqlParameter(

    
    "

    
    @Textcolor

    
    "

    
    , SqlDbType.VarChar, 

    
    20

    
    ) ,

            

    
    new

    
     SqlParameter(

    
    "

    
    @Textweight

    
    "

    
    , SqlDbType.NVarChar, 

    
    50

    
    ) ,



           ...........

        };

        

    
    string

    
    [] stra 

    
    =

    
     {Dropphonetype.SelectedValue,TextPhoneName.Text , Textnum.Text, Textprice.Text, Dropphonetype2.SelectedValue, TextonSellTime.Text, Textcolor.Text, Textweight.Text, 

            .............};



        

    
    int

    
     a

    
    =

    
    stra.Length;

        

    
    int

    
     j;

        

        

    
    for

    
     ( j 

    
    =

    
     

    
    0

    
    ; j 

    
    <

    
     a; j

    
    ++

    
    )

        {

            paras[j].Value 

    
    =

    
     stra[j];

           

        }

        

    
    int

    
     strpid 

    
    =

    
     

    
    0

    
    ;

        

    
    string

    
     sqla 

    
    =

    
     sql.ToString();

        

    
    try

    
    

        {

            SqlHelper.ExcuteNonQurey(sqla, CommandType.Text, paras);

    
    //

    
    执行添加数据

    
    



    
               

            strpid 

    
    =

    
     Convert.ToInt32(SqlHelper.ExcuteSclare(sqla, CommandType.Text, paras));  

    
    //

    
    获取刚才插入的id号

    
    



    
    



        }

        

    
    catch

    
     (SqlException ex)

        {

            cmdreturn.Text 

    
    =

    
     ex.Message.ToString();



        }



        cmdreturn.Text 

    
    =

    
     strpid.ToString();



。。。。。。。。。



   
   

7.通过URL传递的参数要用加密解密

C# code

   
   

    
    
    
    

传输



    
    string

    
     szTmp 

    
    =

    
     

    
    "

    
    safdsfdsafdsfytrsd

    
    "

    
    ;

szTmp 

    
    =

    
     Server.UrlEncode(szTmp); 

接收

STRING STRA

    
    =

    
    Server.UrlDecode(request.querystring(szTmp));







   
   

8.把要使用的参数处理一下单引号，再放到SQL里面 
  例如 string stra=aa.replace("'","''")

  用参数化SQL可以不用处理单引号
  指定参数类型和过滤掉单引号，就可以杜绝99.9%入侵了


另外说一句：网上那些被人奉如圣经的过滤 update insert  等关键字的程序是用处不大的  upupdatedate 过滤掉 update还是update
还会造成不必要的麻烦