看了以下帖子想写一点东西，原帖内容如下：

 
标题：防注入真的有用吗？
 
作者：798146410
 
时间：2012-2-22 21:39
 
内容：
 
现在网上流传很多防注入代码。这些真的有用吗？这是在网上找的一个防注入代码
 
例如：
 
''''--------定义部份------------------
DimFy_Post,Fy_Get,Fy_In,Fy_Inf,Fy_Xh,Fy_db,Fy_dbstr''''自定义需要过滤的字串,用"|"分隔Fy_In="''''|;|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|<|>|||-|_"Fy_Inf= split(Fy_In,"|")IfRequest.Form<>""ThenForEachFy_PostInRequest.FormForFy_Xh=0ToUbound(Fy_Inf)IfInstr(LCase(Request.Form(Fy_Post)),Fy_Inf(Fy_Xh))<>0ThenResponse.Write"<Script Language=JavaScript>alert(''''网长友情提示↓
网站在conn.asp插入上述代码把基本上能过滤的查询语句都过滤了。带式仔细找，貌似一个=（等号）没有过滤。。大家再找找。。。
 
等等。。一个等号就可以。。。。当我们我们输入and 1=1和和1=2时出现对话框。。记录了我们的ip和提交方式什么的。

我们是不是可以吧 and变成没有这些字符的语句呢？找了想到 base64字符。我们接着实验。。。成功。这里

又找了几个站，发现有的可以用这种方法注入。有的不可以。。大家不妨在注入的时候试一下。

---

这段过滤代码所存在的问题如下：

1、目测没有过滤Get、cookie提交方式，只过滤了post，而asp程序员最喜欢使用 Request("a") 这种方式获取数据，这种语句是不限定数据提交方式的，可以是get、cookie、post中任意一种，都可以获得数据（如果多个方式同时提交，则按照先后优先级获取数据，我记得默认优先级顺序为：Request.QueryString → Request.Form → Request.cookies → Request.ServerVariable），所以形同虚设。

2、Response.Write 后边如果没有 Response.End，也形同虚设，禁用js或其他发包方式即可，原理很简单不解释了，由于你代码不全（写这个文章的时候，楼主只是贴了一小段代码，后来补全了，这个不是重点，关键在于这篇文章所讲的方法），所以无法判断是否存在该缺陷。

3、大略的看了一下，他过滤的字符集没有关键词：or，这是一个严重的失误。

4、…… www.2cto.com

这几个缺点，稍微好一点的防注入过滤程序应该都不存在，除非作者太白痴了。。。

至于你说的把and变成“没有”这些字符的语句，可以参照以下方法：

1、变通法，例如他没有过滤 or，那么可以用：test.asp?id=999 or exists(select * from admin)、test.asp?id=999 or 1>2，注意：这个999必须是一个不存在的ID，让or前边的表达式运算值为false，这样整个语句的返回值就以or后的表达式运算值为准了。

2、“替换”大法，如果碰到直接替换的那种过滤程序，可以使用：test.asp?id=1 aandnd 1>2，这样执行一次替换后，结果就变成了：test.asp?id=1 and 1>2，其他关键词同理，很简单易懂的方法，大多数过滤程序都存在这个缺陷。

3、还可以使用打乱大小写字母的写法，因为在 Asp 中，Replace、Instr 等处理字符串函数默认是大小写敏感的，例如：sEleCT <> select，这是个极容易被忽视的问题。

4、使用注释方法，例如过滤了空格的话，可以用：test.asp?id=1/**/and/**/1=1，再例如，当过滤select时，可以：union/**//*!select*/1,2,3,4，或：union/**/s/**/elec/**/t/**/1,2,3,4，甚至还可以：union/**//*!5100select*/1&id=2,3&id=4，5100为mysql的版本号。

5、打碎关键词，原理很简单，如果你提交：test.asp?id=127/*&id=*/an&id=d/**/1=1 时，Asp 接收到的结果是：127/*, */an, d/**/1=1，注意中间的空格，再过滤掉逗号和空格就变成了：127/**/and/**/1=1，然后你懂的……php 的无效，直接覆盖了。这个使用条件比较苛刻，需要过滤逗号和空格，但我估计存在这种问题的站点依然不少。

6、过滤了空格还可以用：/**/、　（这是汉字空白字符）、chr(10)、chr(13)，等字符充当空格。

7、……

关于 Sql 语句中的注释符，再补充一点知识：

Access 中没有专门的注释符号，因此“/**/”“--”“#”都没法使用，但是可以使用空字符 "NULL" (%00) 代替，例如：' UNION SELECT Count(*) FROM admin%00

关于 Asp 打碎关键词，具体的知识可以去看： http://www.2cto.com/Article/201104/87001.html

还有，如果是mysql数据库的话，还存在宽字节注入等问题，这些就不一一说明了，关于宽字节注入的知识，可以去看：

 

PHP 双字节、宽字节编码漏洞

利用GBK双字节编码突破PHP单引号转义限制进行SQL注入

突破防注入过滤，继续 Sql 注入，这方面的技巧、经验相当的多，这里只是略提一下，实际上都可以写成一本书，大家发散思维，方法很多的，欢迎补充。

在 Asp 中彻底封死注入的方法：

1、数字型：

 
DimTmpTmp=Request("test")IF Len(Tmp)>9thenResponse.Write"fuck you!"Response.EndElseIFIsNumber(Tmp)=FalseThenResponse.Write"fuck you!"Response.EndElseIFInstr(Tmp,"+")>0ThenResponse.Write"fuck you!"Response.EndElseIFInstr(Tmp,"-")>0ThenResponse.Write"fuck you!"Response.EndElseIFInstr(Tmp,".")>0ThenResponse.Write"fuck you!"Response.EndElseResponse.Write"ok!"End IF
2、字符型：
 
DimTmp, ITmp=Request("test")Tmp=Replace(Tmp,"'","\'")Tmp=Replace(Tmp,"""","\""")Tmp = Replace(Tmp, chr(10), "")Tmp = Replace(Tmp, chr(13), "")Response.Write "ok!"
这样完全就可以封死了，不用搞什么过滤关键词，弄一堆字符集，那种方法太恶心了，效率又底……Sql 注入漏洞的产生原因，就是因为程序员的不细心、缺乏安全意识，若是程序员平时写程序的时候，就注意了并避免了这些细节问题，那么为什么还需要用第三方防注入程序，进行所谓的修补呢？

再唠叨一下，经过这几年的发展，如今的防注入程序已经做得非常好了，已经不是很容易就可以突破了，但是稍微细心一下，有些还是可以再利用的。

参考资料：

基于 SQL 注入（sql injection） 介绍一些注射技巧 - 技术文章

SQL绕过注入最新代码

ASP 绕过防注入的新思路：打碎关键字

PHP 双字节、宽字节编码漏洞

利用GBK双字节编码突破PHP单引号转义限制进行SQL注入

---

楼主后来补充的完整的代码：


<%dim sql_injdata ,SQL_inj,SQL_Get,SQL_Post,SQL_Cookies,SQL_Data SQL_injdata ="<%|script|insert|select|delete|exec|cast|update|chr|master|truncate|declarei|eval"ifstopwords<>""andinstr(LCase(Request.ServerVariables("PATH_INFO")),"siteconfig.asp")=0thenSQL_injdata=SQL_injdata&"|"&stopwords endifSQL_inj =split(SQL_Injdata,"|")ifchecksqlin="Yes"thenIfRequest.Form<>""ThenStopInjection(Request.Form)IfRequest.QueryString<>""ThenStopInjection(Request.QueryString)IfRequest.Cookies<>""ThenStopInjection(Request.Cookies)endifFunctionStopInjection(values)ForEachSQL_Get Invalues ForSQL_Data=0ToUbound(SQL_inj)'if instr(LCase(request(SQL_Get)),Sql_Inj(Sql_DATA))>0 Then if instr(LCase(replace(request(SQL_Get),chr(34),"'")),Sql_Inj(Sql_DATA))>0 Then '“"”
无法直接写入到变量“SQL_injdata”中，在这里替换“"”为“'”提示之Response.Write "<script>alert('检测到非法信息，已禁止本次提交！');history.back()</script>" Response.end end if next Next end function%>