作者gn870988 (VNMP-90)
看板Web_Design
标题[问题] 关於QueryString过滤问题 (特殊字元)
时间Sun Nov 17 16:41:35 2013
ASP.NET
Request.QueryString 有些特殊字元会让网页挂掉且被SQL被注入
目前解决方法是出现某些字元出现错误例如说("'" "update"等)
但我发现有一些字元还是没法设定
譬如说:"?" "/"等 因这些在网页是必需出现的
这些字元输入在网页里还是挂掉
恳请问大家下解决方法
也可以到SUBSTRING OR INDEXOF来处理吗? 感觉会很复杂
再次谢谢大家
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 60.244.18.205
1F：推 a926:sql injet. 是因为你用了querying 参数当成你sql的参数吧~有 11/17 19:06
2F：→ a926:将网址先做htmlencode吗@@ 11/17 19:06
3F：→ gn870988:没 先转HTML CODE吗? 11/17 19:33
4F：→ gn870988:恩 没错 我把querying 参数当成我sql的参数 11/17 19:34
5F：→ gn870988:说错 先转htmlencode吗 11/17 19:34
6F：推 pm2001:先urlencode,捞进来後再做urldecode 11/17 19:41
7F：→ gn870988:OK 我试看看 感谢提供的方法 11/17 19:52
8F：→ gn870988:补充:某些拍卖网站的某页面?ID=1 但我今天故意输入 11/17 20:26
9F：→ gn870988:後面加上 英文 OR 单引号 等 我看都会过滤掉例如说输入 11/17 20:26
10F：→ gn870988:单引号本来?ID=1' 按ENTER变成?ID=1 不知如何做到 11/17 20:27
11F：→ gn870988:我只是先转到其他页面 感觉这做法不是很好 11/17 20:27
12F：推 mmis1000:用header跳转？ 11/18 00:49
13F：推 qwer820404:httpmodule? 11/18 09:45
14F：推 pm2001:server端:301 302 html:meta或是js 11/18 20:55
15F：→ gn870988:OK 感谢各位方法!! 都会去试试看! 11/20 22:38