sqlin.asp

数值计算方法网络课件系统是浙江大学过程装备与控制工程专业2001级本科生毕业设计成果。本系统采用ASP＋ACCESS架构

<%
'--------版权说明------------------
'SQL通用防注入程序 V3.0
'2.0强化版，对代码做了一点优化，加入自动封注入者Ip的功能！^_^
'3.0版，加入后台登陆查看注入记录功能，方便网站管理员查看非法记录，以及删除以前的记录，是否对入侵者Ip解除封锁！
'火狐技术联盟 Neeao URL:http://www.wrsky.com
'Neeao站点：http://www.neeao.com 
'Mail:[e-mail]


'--------定义部份------------------
Dim Fy_Post,Fy_Get,Fy_In,Fy_Inf,Fy_Xh,Fy_db,Fy_dbstr,Kill_IP,WriteSql
'自定义需要过滤的字串,用 "|" 分隔
Fy_In = "'|;|and|(|)|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare"
Kill_IP=False
WriteSql=True			
'----------------------------------


Fy_Inf = split(Fy_In,"|")
'--------POST部份------------------
If Request.Form<>"" Then
	For Each Fy_Post In Request.Form
		For Fy_Xh=0 To Ubound(Fy_Inf)
			If Instr(LCase(Request.Form(Fy_Post)),Fy_Inf(Fy_Xh))<>0 Then
				If WriteSql=True Then
					DBConnBegin()
					Conn.Execute("insert into SqlIn(Sqlin_IP,SqlIn_Web,SqlIn_FS,SqlIn_CS,SqlIn_SJ) values('"&Request.ServerVariables("REMOTE_ADDR")&"','"&Request.ServerVariables("URL")&"','POST','"&Fy_Post&"','"&replace(Request.Form(Fy_Post),"'","''")&"')")
					DBConnEnd()
				End If
				GoError "请不要在参数中包含非法字符尝试注入！<br>系统已经对您的非法操作作了记录，并且可能封锁了您的IP。<br>请联系系统管理员解除封锁。"
				Response.End
			End If
		Next
	Next
End If
'----------------------------------

'--------GET部份-------------------
If Request.QueryString<>"" Then
	For Each Fy_Get In Request.QueryString
		For Fy_Xh=0 To Ubound(Fy_Inf)
			If Instr(LCase(Request.QueryString(Fy_Get)),Fy_Inf(Fy_Xh))<>0 Then
				If WriteSql=True Then
					DBConnBegin()
					Conn.Execute("insert into SqlIn(Sqlin_IP,SqlIn_Web,SqlIn_FS,SqlIn_CS,SqlIn_SJ) values('"&Request.ServerVariables("REMOTE_ADDR")&"','"&Request.ServerVariables("URL")&"','GET','"&Fy_Get&"','"&replace(Request.QueryString(Fy_Get),"'","''")&"')")
					DBConnEnd()
				End If
				GoError "请不要在参数中包含非法字符尝试注入！<br>系统已经对您的非法操作作了记录，并且可能封锁了您的IP。<br>请联系系统管理员解除封锁。"
				Response.End
			End If
		Next
	Next
End If

If Kill_IP=True Then
	Call DBConnBegin()
	Dim Sqlin_IP
	Sqlin_IP=Request.ServerVariables("REMOTE_ADDR")
	Sql="select Sqlin_IP from SqlIn where Sqlin_IP='"&Sqlin_IP&"' and kill_ip=true"
	Rs.open Sql,conn,3,3
	If Not(Rs.eof or Rs.bof) Then
		GoError "由于您曾尝试破坏本系统，系统已经封锁了您的IP。<br>请联系系统管理员解除封锁。"
	Response.End
	End If
	Call DBConnEnd()
	
End If
%>