asp.net中实现SQL防注入代码

最新推荐文章于 2025-05-13 16:50:00 发布

weixin_33738555

最新推荐文章于 2025-05-13 16:50:00 发布

阅读量75

点赞数

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/9who/archive/2008/07/28/1254463.html

本文介绍了一种通过分析用户提交的数据来防止SQL注入攻击的方法。该方法通过对查询字符串进行检查，并对比预设的敏感关键字列表来判断是否存在潜在的SQL注入风险。一旦发现可疑请求，将自动重定向到错误页面。

在网站里新建Global.asax，添加
void Application_BeginRequest(object source, EventArgs e)
    {
        COMP.ProcessRequest pr = new COMP.ProcessRequest();
        pr.StartProcessRequest();
    }

comp里面有文件ProcessRequest.cs代码如下

public class ProcessRequest

{

SQL注入式攻击代码分析#region SQL注入式攻击代码分析

/**//// <summary>

/// 处理用户提交的请求

/// </summary>

public void StartProcessRequest()

{

try

{

string getkeys = "";

string sqlErrorPage = "/";

if (System.Web.HttpContext.Current.Request.QueryString != null)

{

for (int i = 0; i < System.Web.HttpContext.Current.Request.QueryString.Count; i++)

{

getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];

if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys].ToLower()))

{

System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage);

System.Web.HttpContext.Current.Response.End();

}

//if (System.Web.HttpContext.Current.Request.Form != null)

//{

// for(int i=0;i<System.Web.HttpContext.Current.Request.Form.Count;i++)

// {

// getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];

// if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys].ToLower()))

// {

// System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage);

// System.Web.HttpContext.Current.Response.End();

// }

//}

}

catch

{

// 错误处理: 处理用户提交信息!

}

/**//// <summary>

/// 分析用户请求是否正常

/// </summary>

/// <param name="Str">传入用户提交数据</param>

/// <returns>返回是否含有SQL注入式攻击代码</returns>

private bool ProcessSqlStr(string Str)

{

bool ReturnValue = true;

try

{

if (Str != "" && Str != null)

{

string SqlStr = "";

if (SqlStr == "" || SqlStr == null)

{

}

string[] anySqlStr = SqlStr.Split('|');

foreach (string ss in anySqlStr)

{

if (Str.IndexOf(ss) >= 0)

{

ReturnValue = false;

}

catch

{

ReturnValue = false;

}

return ReturnValue;

}

#endregion

}

public class ProcessRequest

{

SQL注入式攻击代码分析#region SQL注入式攻击代码分析

/**//// <summary>

/// 处理用户提交的请求

/// </summary>

public void StartProcessRequest()

{

try

{

string getkeys = "";

string sqlErrorPage = "/";

if (System.Web.HttpContext.Current.Request.QueryString != null)

{

for (int i = 0; i < System.Web.HttpContext.Current.Request.QueryString.Count; i++)

{

getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];

if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys].ToLower()))

{

System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage);

System.Web.HttpContext.Current.Response.End();

}

//if (System.Web.HttpContext.Current.Request.Form != null)

//{

// for(int i=0;i<System.Web.HttpContext.Current.Request.Form.Count;i++)

// {

// getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];

// if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys].ToLower()))

// {

// System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage);

// System.Web.HttpContext.Current.Response.End();

// }

//}

}

catch

{

// 错误处理: 处理用户提交信息!

}

/**//// <summary>

/// 分析用户请求是否正常

/// </summary>

/// <param name="Str">传入用户提交数据</param>

/// <returns>返回是否含有SQL注入式攻击代码</returns>

private bool ProcessSqlStr(string Str)

{

bool ReturnValue = true;

try

{

if (Str != "" && Str != null)

{

string SqlStr = "";

if (SqlStr == "" || SqlStr == null)

{

}

string[] anySqlStr = SqlStr.Split('|');

foreach (string ss in anySqlStr)

{

if (Str.IndexOf(ss) >= 0)

{

ReturnValue = false;

}

catch

{

ReturnValue = false;

}

return ReturnValue;

}

#endregion

}

转载于:https://www.cnblogs.com/9who/archive/2008/07/28/1254463.html