防止sql注入问题
ASP编程门槛很低，新手很容易上路。在一段不长的时间里，新手往往就已经能够编出看来比较完美的动态网站，在功能上，老手能做到的，新手也能够做到。那么新手与老手就没区别了吗？这里面区别可就大了，只不过外行人很难一眼就看出来罢了。在界面的友好性、运行性能以及网站的安全性方面是新手与老手之间区别的三个集中点。而在安全性方面，新手最容易忽略的问题就是SQL注入漏洞的问题。用NBSI
2.0对网上的一些ASP网站稍加扫描，就能发现许多ASP网站存在SQL注入漏洞，教育网里高校内部机构的一些网站这种漏洞就更普遍了，可能这是因为这些网站大都是一些学生做的缘故吧，虽然个个都很聪明，可是毕竟没有经验，而且处于学习中，难免漏洞多多了。本文主要讲讲SQL注入的防范措施，而要明白这些防范措施的用处，须先详细讲解利用SQL注入漏洞入侵的过程。新手们看明白啦。
相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。如这是一个正常的网址http://www.556b.cn/lawjia/show.asp?ID=444，将这个网址提交到服务器后，服务器将进行类似Select
* from 表名 where 字段="ID的查询(ID即客户端提交的参数，本例是即444)，再将查询结果返回给客户端，如果这里客户端故意提交这么一个网址：
http://www.556b.cn/lawjia/show.asp?ID=444 and user0，这时，服务器运行Select * from 表名
where 字段=444 and user0这样的查询，当然，这个语句是运行不下去的，肯定出错，错误信息如下：
·错误类型：
Microsoft OLE DB Provider for ODBC Drivers (0x80040E07)
[Microsoft][ODBC SQL Server Driver][SQL Server]将 nvarchar 值 'sonybb' 转换为数据类型为
int 的列时发生语法错误。
/lawjia/show.asp, 第 47 行
但是别有用心的人从这个出错信息中，可以获得以下信息：该站使用MS＿SQL数据库，用ODBC连接，连接帐号名为：sonybb。所谓SQL注入（SQL
Injection），就是利用程序员对用户输入数据的合法性检测不严或不检测的特点，故意从客户端提交特殊的代码，从而收集程序及服务器的信息，从而获取想得到的资料。通常别有用心者的目标是获取网站管理员的帐号和密码。比如当某个人知道网站管理员帐号存在表login中，管理员帐号名为admin，他想知道管理员密码，这里他从客户端接着提交这样一个网址：
http://www.556b.cn/lawjia/show.asp?ID=444 and (Select password from login where
user_name='admin')0，返回的出错信息如下：
·错误类型：
Microsoft OLE DB Provider for ODBC Drivers (0x80040E07)
[Microsoft][ODBC SQL Server Driver][SQL Server]将 varchar 值 '！＠＃＊＆admin' 转换为数据类型为
int 的列时发生语法错误。
/lawjia/show.asp, 第 47 行
你知道吗？上面标红的部分就是管理员帐号admin的密码！虽然很复杂，让人看几遍也记不住的，但它就这样显示在你面前了，这时您就可以用这个帐号和密码接管人家的网站了！这时你可能还会说，如果他不是事先知道管理员帐号存在表login中，而且知道管理员帐号为admin，那他就不可能获得管理员密码。你错了，只要人家愿意多花时间尝试，他将可以获得数据库连接帐号权限内所能获得的所有信息！
当然这个过程是很烦琐的而且要花费很多的时间，如果只能以这种手动方式进行SQL注入入侵的话，那么许多存在SQL注入漏洞的ASP网站会安全很多了，不是漏洞不存在了，而是利用这个漏洞入侵的成本太高了。但是如果利用专门的黑客工具来入侵的话，那情况就大大不同了。手动方式进行SQL注入入侵至少需要半天或一天乃至很多天的时间，而利用专门的工具来入侵就只需要几分钟时间了（视网速快慢决定），再利用获得的管理帐号和密码，上传一个从网上下载的ASP后门程序，就轻易获得整个网站的管理权限了，甚至整个服务器的管理权限。最有名的一种SQL注入入侵工具是NBSI
2.0，现在已经出到2.0版本了，不过，人家正式名称不叫SQL注入入侵工具，而叫做网站安全漏洞检测工具。有了这个所谓的检测工具，使得入侵存在SQL注入漏洞的ASP网站成了小儿科的游戏，那些既不懂ASP又不懂SQL、年纪小小的男性青年常常得以在一天之内入侵十多个ASP网站，他们以此获得内心的极大满足。他们似乎也非常讲究职业道德，往往并不破坏网站数据和系统，常见的破坏方式大都仅仅是改换掉网站的主页，留下"善意的警告"，如：你的网站存在SQL注入漏洞，请管理员做好防范措施！并声明"我没有破坏数据和系统"，有的还要借机发布一下他的倡导："国内网站大家不要入侵，有本事入侵小日本的！"，最后，签上他的鼎鼎大名是必不可少的程序。
不知那些没注意过SQL注入漏洞的ASP程序员们看了上面的例子，要作何感想呢？如果您的网站就这样被人不费吹灰之力入侵了，您是不是要吐几升血了呢？也许您已经为系统安全费尽心思了，装补丁、安防火墙、装杀毒软件、巧妙配置IIS及数据库用户权限，但您就是没有注意到SQL注入漏洞，于是"千里之堤，溃于蚁穴"。防火墙与杀毒软件对SQL注入是没办法防范的，因为SQL注入入侵跟普通的WEB页面访问没什么区别，所以往往是防不甚防。而且一个服务器上放置的网站往往是有很多个的，服务器管理员不可能挨个网站挨个页面的审查其是否存在SQL注入漏洞。那么应该如何防范SQL注入入侵呢？作为服务器管理员或网站程序员应该分别怎么做呢？服务器管理员要做的事主要是配置IIS和数据库用户权限，而网站程序员主要是要在程序代码编写上防范SQL注入入侵。下面详细叙述：
对于服务器管理员，既然你不可能挨个检查每个网站是否存在SQL注入漏洞，那么就来个一个绝招。这个绝招能有效防止SQL注入入侵而且"省心又省力，效果真好！"SQL注入入侵是根据IIS给出的ASP错误提示信息来入侵的，如果你把IIS设置成不管出什么样的ASP错误，只给出一种错误提示信息，即http
500错误，那么人家就没办法入侵了。具体设置请参看图2。主要把500:100这个错误的默认提示页面
C:\WINDOWS\Help\iisHelp\common\500-100.asp改成
C:\WINDOWS\Help\iisHelp\common\500.htm即可，这时，无论ASP运行中出什么错，服务器都只提示HTTP 500错误。
但是这样设置一个不好的地方是程序员编写的代码出错时，服务器不给出详细的错误提示信息，会给程序员带来很大的不便。不过，服务器毕竟不是测试代码的地方，应坚持安全稳定第一，这样设置也是无可厚非的，事实上许多服务器的出错信息都是如此设置。
服务器管理员还应在IIS中为每个网站设置好执行权限，可千万别给人家静态网站以"脚本和可执行"权限。一般情况下给个"纯脚本"权限就够了，对于那些通过网站后台管理中心上传的文件存放的目录，就更吝啬一点吧，执行权限设为"无"好了，这样做是为了防止人家上传ASP木马，执行权限设为"无"，人家上传ASP木马也运行不了。一般情况下，SQL注入漏洞仅是涉及一个网站安全的事，如果人家通过这个漏洞上传了ASP木马并运行起来，那整个服务器都失陷了。所以有远见的、有责任心的服务器管理员应该十分吝啬的配置IIS的执行权限。
同样的吝啬态度应适用于数据库用户的权限配置上，当然这里数据库是指MS＿SQL啦，ACCESS都没有用户权限配置这一步骤。如果PUBLIC权限足够使用的绝不给再高的权限，可千万别把SA级别的权限随随便便地给人家啊。那个所谓的网站安全漏洞检测工具NBSI
2.0可有跨库进行SQL注入的功能啊，如果你把SA权限给了存在SQL注入漏洞的库，那其它库就不保啦！城门失火，殃及池鱼呀。而人家还可以通过调用xp_cmdshell命令得到系统的最高权限。具体步骤还是请参看上面提到的那篇《SQL注入漏洞全接触》这篇文章吧。
接下来要讲讲程序员的防范措施了。程序主要要做两件事，最重要的一件事，当然是对客户端提交的变量参数进行仔细地检测啦。对客户端提交的变量进行检查以防止SQL注入，有各种方法，到http://community.csdn.net/上搜索一下，你能获得许多有益信息。这里介绍一种现成的方法，别人已经写好了检测代码，拿来用一下，不用自己辛苦啦。那就是"枫叶SQL通用防注入V1.0
ASP版"，这是一段对用户通过网址提交过来的变量参数进行检查的代码，发现客户端提交的参数中有"exec、insert、select、delete、from、update、count、user、xp_cmdshell、add、net、Asc"等用于SQL注入的常用字符时，立即停止执行ASP并给出警告信息或转向出错页面。大家可以到网上搜索一下，下载这段代码，存为一个ASP页面，如checkSQL.asp，把这个页面include到每个需要带参数查询SQL数据库ASP页面中，记住，只要加一行这样的!--#include
file="checkSQL.asp"--代码就行了。
程序员要做的第二件事是给用户密码加密啦。比如用MD5加密。MD5是没有反向算法,不能解密的。人家即使知道经加密后存在数据库里的像乱码一样的密码，他也没办法知道原始密码了。不过，人家可以用UPDATE方法用他的密码代替你的密码，但这个操作还是有点麻烦，人家可能会怕麻烦而放弃。而那个所谓的网站安全漏洞检测工具NBSI
2.0是没有提供UPDATE操作功能的，所以用MD5加密后，人家仅用NBSI
2.0而不辅以手动操作的话，就不可能获得网站管理员帐号的密码，这将挡住许多菜鸟级的攻击者，至少那些既不懂ASP又不懂SQL、年纪小小的男性青年是没有办法啦！
文章写到这，已经够长了，本来还想对那些所谓的网站安全漏洞检测工具如NBSI之流的黑客工具进行一番理性的探讨的，看来还是放弃好了。为了增强网站安全，了解攻击手段是必须的，但是，利用漏洞开发专门的黑客工具，使那些其实并不具备必要的网络技术和网络安全知识的人（就是文中提到的"既不懂ASP又不懂SQL、年纪小小的男性青年"）轻而易举地侵入一家网站，这除了为许多网络管理员制造麻烦外，是否还具有加强网络安全意识提高网络安全水平的功效呢？
nbsi和hdsi什么啊d的这些入侵工具是不是病毒呀
Hacktool
黑客工具一般都会被杀软报为危险程序，是正常的。
黑客必备工具是哪些？哪种扫描工具比较好用？
1. X-SCAN 不错 速度慢
2. S.EXE 端口扫描 速度快
3. X-WAY 可对系统进行综合扫描
4. 流光
5. 啊D工具包
6. WIN2K自动攻击探测机
我建议你用 X-SCAN 不错的
脚本
1. ASC 扫描ASP文件是否存在注入点
2. 明小子
3. 啊D旁注
4. WED 小榕的
建议:
这些工具一天就能学会,当不能表明你成为黑客,想成为黑客,好好学学编程吧, 然后不要这些工具,要他们的代码,自己研究.加油吧
HACK黑客常用哪些工具
AndroRAT
AndroRAT一词源自Android与RAT（即远程管理工具）。这款顶级黑客工具已经拥有相当长的发展历史，而且最初其实是一款客户端/服务器应用。这款应用旨在帮助用户以远程方式控制Android系统，同时从其中提取信息。这款Android应用会在系统启动完成后以服务形式开始运行。因此，如果用户并不需要与该服务进行交互。此应用还允许大家通过呼叫或者短信等方式触发服务器连接。
这款极具实用性的Android黑客应用之功能包括收集联系人、通话记录、消息以及所在位置等信息。此应用还允许大家以远程方式对接收到的消息以及手机运行状态加以监控，进行手机呼叫与短信发送，通过摄像头拍摄照片以及在默认浏览器当中打开URL等等。
Hackode
Hackode是一款Android应用，其基本上属于一整套工具组合，主要面向高阶黑客、IT专家以及渗透测试人员。在这款应用当中，我们可以找到三款模块——Reconnaissance、Scanning以及Security Feed。
通过这款应用，大家可以实现谷歌攻击、SQL注入、MySQL Server、Whois、Scanning、DNS查找、IP、MX记录、DNS Dif、Security RSS Feed以及漏洞利用等功能。这是一款出色的Android黑客应用，非常适合入门者作为起步工具且无需提供任何个人隐私信息。
zANTI
zANTI是一款来自Zimperium的知名Android黑客套件。此软件套件当中包含多种工具，且广泛适用于各类渗透测试场景。这套移动渗透测试工具包允许安全研究人员轻松对网络环境加以扫描。此工具包还允许IT管理员模拟出一套先进黑客环境，并以此为基础检测多项恶意技术方案。
大家可以将zANTI视为一款能够将Backtrack强大力量引入自己Android设备的应用。只要登录至zANTI，它就会映射整套网络并嗅探其中的cookie以掌握此前曾经访问过的各个网站——这要归功于设备当中的ARP缓存。
应用当中的多种模块包括网络映射、端口发现、嗅探、数据包篡改、DoS以及MITM等等。
黑客常的伎俩有哪些？
常用很多dos命令的 taskkill taskkill /PID 1248 /t tasklist 查进程 cacls "C:\Program Files\ewido anti-spyware 4.0\guard.exe" /d:everyone 改、降低某文件权限 iisreset /reboot tsshutdn /reboot /delay:1 重起服务器 logoff 12 要使用会话 ID（例如，会话 12）从会话中注销用户， query user 查看当前终端用户在线情况 要显示有关所有会话使用的进程的信息，请键入：query process * 要显示有关会话 ID 2 使用的进程的信息，请键入：query process /ID:2 要显示有关服务器 SERVER2 上所有活动会话的信息，请键入：query session /server:SERVER2 要显示有关当前会话 MODEM02 的信息，请键入：query session MODEM02 命令列:rundll32.exe user.exe,restartwindows 功能: 系统重启 命令列:rundll32.exe user.exe,exitwindows 功能: 关闭系统 命令列: rundll32.exe user.exe,restartwindows 功能: 强行关闭所有程式并重启机器。 命令列: rundll32.exe user.exe,exitwindows 功能: 强行关闭所有程式并关机 一、扫描工具 X-scan 3.1 焦点出的扫描器，国内最优秀的安全扫描软件之一!非常专业的一个扫描器! 下载 X-way 2.5 这也上一个非常不错的扫描器哦!功能非常多!使用也不难,入侵必备工具! 下载 SuperScan 3.0 强大的TCP 端口扫描器、Ping 和域名解析器! 下载 Namp 3.5 这个就厉害了,安全界人人皆知的非常有名气的一个扫描器!作者Fyodor 下载 Hscan v1.20 这是款运行在Win NT/2000下的漏洞扫描工具，有GUI以及命令行两种扫描方式! 下载 SSS 俄罗斯安全界非常专业的一个安全漏洞扫描软件! 下载 U-Scan.exe 非常好的UNICODE漏洞扫描工具! 下载 RpcScan V1.1 可以通过135端口枚举远程主机RPC连接信息! 下载 SHED 1.01 一个用来扫描共享漏洞的机器的工具! 下载 DSScan V1.00 ms04-011远程缓冲区溢出漏洞扫描专用! 下载 Dotpot PortReady1.6 该软件为“绿色软件”，无需安装，非常小巧（仅23KB），具有极快的扫描速度! 下载 WebDAVScan v1.0 针对WEBDAV漏洞的扫描工具! 注意:该软件解压缩时会被查杀! 下载 Socks Proxy Finder2 扫描端口速度非常快的一个工具,扫描完毕后还可以导出保存起来! 下载 SQLScan v1.2 猜解开着1433端口的住机密码工具! 下载 RPC漏洞扫描器 v1.03 针对RPC漏洞扫描的工具! 下载 流光5.0 破解版 国内大名鼎鼎的黑客扫描工具,由高级程序员小榕编写! 下载 自动攻击探测机 Windows NT/2000 自动攻击探测机 下载 4899空口令探测 能够快速的扫描到被安装了radmin服务端4899端口的空口令IP! 下载 二、远程控制 黑洞2004 免杀版 藏鲸阁-陈经韬编写的著名远程控制程序!该版本还是8月15最新版的哦! 下载 冰河2004 免杀版 国内最有名,历史最悠久的木马冰河!本版本是冰河的最新版本,服务器端只有16KB! 下载 灰鸽子迷你版 灰鸽子工作室-葛军同志的作品! 下载 网络神偷 5.7 网络神偷是一个专业级的远程文件访问工具!具有反弹功能! 下载 广外女生 1.53 广州-广外女生小组的作品,曾风靡一时! 注意:该软件解压缩时会被查杀! 下载 Radmin3.2影子版 非常有名的监视程序!并非木马,所以服务端不会被查杀! 下载 黑社会 2.0 使用跟Radmin一样，功能明显比它多，扫描速度也非常快！ 下载 风雪远程控制 v3.9 基于TCP/IP协议的远程管理网络工具,一个具有反弹功能的工具,非常小巧! 下载 无赖小子 2.5 无赖小子2.5，08月23日发布，其默认端口8011! 下载 蓝色火焰 v0.5 蓝色火焰是一个没有客户端的木马,可谓无招胜有招!注意:该软件解压缩时会被查杀! 下载 网络公牛 国产公牛木马,由于上传文件大小限制,包中没有加入易语言运行库文件krnln.fnr! 下载 GoToMyPC 4.00 安装简单；能够从任何安装有浏览器的计算机上访问主机；具有新的安全功能! 下载 三、入侵必备 SQL综合利用工具 非常好的一个SQL连接器,除了可以输入CMD命令外,还可以直接上传软件! 下载 SuperSQLEXEC 用来连接sql server的工具！ 下载 3389.exe 开远程机器3389端口的小东东!只要把程序上传到肉鸡运行后,重启既可! 下载 c3389.exe 是一个可以显示、更改本机或远程主机终端服务端口的小程序! 下载 3389.bat 一个开3389端口的批量处理! 下载 3399终端登陆器 用来远程登陆3389肉鸡终端的工具!这个win2000以上都有,以下的都没有! 下载 Opentelnet 远程开telnet的工具! 下载 NTLM.exe 去除ntlm验证的小工具,上传后执行,然后再telnet上去既可! 下载 Hide Admin V2.0 用来隐藏肉鸡上管理员帐号的工具!不过管理员帐号必须有＄号哦! 下载 用的一个抓包工具,也是黑客经常使用的工具! 下载电脑-交换机-路由器 192.168.1.1~SSSO伴侣1.2 更直观的入侵，把dos下的入侵实战搬到图形界面上来！ 下载 3389终端复制补丁 只要安装了该补丁,就可以直接把你需要上传的东西拖拽到肉鸡上!非常方便哦! 下载 TFTP32 非常使用的一个上传工具！也是大家经常使用的哦！ 下载 Wget.exe 命令行下的http下载软件! 下载 Pulist.exe 使用pulist.exe 来获取已经登陆帐户的winlogon.exe 的PID 值! 下载 FindPass.exe 找管理员密码，需要PULIST配合! 下载 入侵助手1.0 该工具可以将dos下的入侵命令直接生成给黑客! 下载 Snake的代理跳板 让机器成为sock5代理软件的程序,可以用它隐藏自己的ip. 下载 Fport.exe 命令行下查看系统进程与端口关联! 四、注入工具 NBSI 2.0 NB联盟小竹编写的一个非常强悍sql注射工具! 下载 CASI 1.10 安全天使-superhei编写的一个php注射工具，亦是国内首发的第一个php注射工具! 下载 sqlasc.exe NB联盟出的注射点扫描工具! 下载 sql_injection 自贡学生联盟出的sql注射工具,跟臭要饭的哪个差不多! 下载 绝世猜解SQL注射 1.0 BUGKIDZ-臭要饭的!以前编写的sql注射工具,使用率相当广泛!简单实用的工具! 下载 五、网吧工具 还原转存大师 藏鲸阁出的还原转存大师,大家都认识!不做介绍! 下载 还原精灵清除器 CY07工作室出的一个还原精灵清除器!好久以前我用过,感觉非常不错! 下载 还原精灵密码读取 还原精灵密码读取!读取还原精灵密码的工具! 下载 还原卡密码破解程序 非常好用的还原卡密码破解程序! 下载 Pubwin4.3 修改程序 目的:跳过管理验证,并且可以免费上网! 下载 美萍9.0密码破解器1.0 美萍9.0密码破解器1.0!做破解使用! 下载 万象2R最新版破解器 万象2R最新版破解器!做破解使用! 下载 万象普及版密码破解器 可以显示退出密码；运行设置程序密码；注意:该软件解压缩时会被查杀! 下载 网吧管理集成破解器 网吧管理集成破解器,功能挺多的哦! 下载 Pubwin精灵 程序运行后,首先点击破解按钮,当显示破解成功后请点注销按钮.... 下载 小哨兵密码清除器 小哨兵密码清除,没有测试过,大家试试! 下载 解锁安全器2.0 解锁安全器2.0! 下载 硬盘还原卡破解程序 硬盘还原卡破解程序! 下载 还原卡解锁 还原卡解锁! 下载 Bios密码探测器 Bios密码探测器,速度很快的哦! 下载 共享密码扫描器 共享密码扫描器,也是一个不错的工具! 下载 硬盘还原卡工具包 硬盘还原卡工具包,零件很多,大家试试吧! 下载 干掉Windows2000 干掉Windows2000! 下载 注册表解锁器 注册表破解器!解锁用的! 下载 网上邻居密码破解器 网上邻居密码破解器,速度也很快哦! 下载 六、漏洞利用 动网7SP1,2,SQL注入 动网7SP1,7SP2,SQL版USER-AGENT注入利用程序!桂林老兵作品! 下载 动网上传利用程序 动网上传漏洞利用程序!桂林老兵作品! 下载 动网上传漏洞利用 动网上传漏洞利用程序,臭要饭的!作品! 下载 BBS3000漏洞利用工具 BBS3000漏洞利用工具,俺是奋青作品! 下载 尘缘雅境漏洞利用工具 尘缘雅境上传漏洞利用工具,俺是奋青作品! 下载 上传漏洞利用4in1 上传漏洞利用程序4合1! 下载 七、嗅探监听 nc.exe NC.EXE是一个非标准的telnet客户端程序！安全界有名的军刀! 下载 NetXray 一款非常好的网络分析和监控软件 下载 Sniffer Pro 4.7 想成为真正的黑客高手,那就先学会使用该工具吧! 下载 灰鸽子：http://61.129.76.80/down?cid=173FB75BC7CCD752395FCD2D554BCF52247D7AC2t=502fmt=- 阿D工具包: http://61.129.76.80/down?cid=807BA7846336E15F49D08161B66D6DE368806CF2t=202fmt=- ssport扫描：http://crc.onlinedown.net:82/down/ssport.rar NTscan:http://cqhk.14023.com/down/NTscan%BA%BA%BB%AF%B0%E6.rar IP数据库纯真版:http://www.xdowns.com/soft/xdowns.asp?softid=31375downid=5id=36514 Recton V2.5 D贺专用版:http://www.luyi61.net/Soft/UploadSoft/mmhm/200610/Recton.rar 局域网查看工具:http://flashget.newhua.com:82/down/LanSee163.rar 站长助手公开版:http://xzdx.hack58.net/hack58/ly/061229zs.rar 北斗4.1破解版:http://down.98959.com:90/%C8%ED%BC%FE%CF%C2%D4%D8/2006/8/25/20060825085921853.rar 木马彩衣715SVK:http://download.77169.com/soft/hacrktools/keyboard/2006/mmcyzj.zip Private exe Protector:http://1.wt1.crsky.com/200703/pep200.rar
