作者gn870988 (VNMP-90)
看板Web_Design
標題[問題] 關於QueryString過濾問題 (特殊字元)
時間Sun Nov 17 16:41:35 2013
ASP.NET
Request.QueryString 有些特殊字元會讓網頁掛掉且被SQL被注入
目前解決方法是出現某些字元出現錯誤例如說("'" "update"等)
但我發現有一些字元還是沒法設定
譬如說:"?" "/"等 因這些在網頁是必需出現的
這些字元輸入在網頁裡還是掛掉
懇請問大家下解決方法
也可以到SUBSTRING OR INDEXOF來處理嗎? 感覺會很複雜
再次謝謝大家
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 60.244.18.205
1F：推 a926:sql injet. 是因為你用了querying 參數當成你sql的參數吧~有 11/17 19:06
2F：→ a926:將網址先做htmlencode嗎@@ 11/17 19:06
3F：→ gn870988:沒 先轉HTML CODE嗎? 11/17 19:33
4F：→ gn870988:恩 沒錯 我把querying 參數當成我sql的參數 11/17 19:34
5F：→ gn870988:說錯 先轉htmlencode嗎 11/17 19:34
6F：推 pm2001:先urlencode,撈進來後再做urldecode 11/17 19:41
7F：→ gn870988:OK 我試看看 感謝提供的方法 11/17 19:52
8F：→ gn870988:補充:某些拍賣網站的某頁面?ID=1 但我今天故意輸入 11/17 20:26
9F：→ gn870988:後面加上 英文 OR 單引號 等 我看都會過濾掉例如說輸入 11/17 20:26
10F：→ gn870988:單引號本來?ID=1' 按ENTER變成?ID=1 不知如何做到 11/17 20:27
11F：→ gn870988:我只是先轉到其他頁面 感覺這做法不是很好 11/17 20:27
12F：推 mmis1000:用header跳轉？ 11/18 00:49
13F：推 qwer820404:httpmodule? 11/18 09:45
14F：推 pm2001:server端:301 302 html:meta或是js 11/18 20:55
15F：→ gn870988:OK 感謝各位方法!! 都會去試試看! 11/20 22:38