经典ASP SQL注入

Question

我最近继承了一个经典的asp网站,其中包含大量内联SQL插入语句,这些语句易受SQL注入攻击.

这些insert语句通过ADO命令对象执行.

将ADO Command Object的Prepared属性设置为true可确保在执行前对参数进行参数化,从而降低SQL注入的风险吗？

Answer 1

不,如果您使用直接从"外部"获得的值构建SQL字符串,那么"预准备语句"将无法帮助您.

一个

sSQL = "SELECT * from mytable where mycolumn = '" + querystring("value") + "'"

仍在寻找麻烦.解决此问题的唯一方法是在查询中使用参数.

Answer 2

此链接应该证明是有用的.

经典的ASP SQL注入保护