怎么样防止Sql注入？

(1)对于动态构造SQL查询的场合，可以使用下面的技术：

第一：替换单引号，即把所有单独出现的单引号改成两个单引号，防止攻击者修改SQL命令的含义。再来看前面的例子，“SELECT * from Users WHERE login = ''' or ''1''=''1' AND password = ''' or ''1''=''1'”显然会得到与“SELECT * from Users WHERE login = '' or '1'='1' AND password = '' or '1'='1'”不同的结果。

第二：删除用户输入内容中的所有连字符，防止攻击者构造出类如“SELECT * from Users WHERE login = 'mas' -- AND password =''”之类的查询，因为这类查询的后半部分已经被注释掉，不再有效，攻击者只要知道一个合法的用户登录名称，根本不需要知道用户的密码就可以顺利获得访问权限。

第三：对于用来执行查询的数据库帐户，限制其权限。用不同的用户帐户执行查询、插入、更新、删除 *** 作。由于隔离了不同帐户可执行的 *** 作，因而也就防止了原本用于执行SELECT命令的地方却被用于执行INSERT、UPDATE或DELETE命令。

⑵ 用存储过程来执行所有的查询。SQL参数的传递方式将防止攻击者利用单引号和连字符实施攻击。此外，它还使得数据库权限可以限制到只允许特定的存储过程执行，所有的用户输入必须遵从被调用的存储过程的安全上下文，这样就很难再发生注入式攻击了。

⑶ 限制表单或查询字符串输入的长度。如果用户的登录名字最多只有10个字符，那么不要认可表单中输入的10个以上的字符，这将大大增加攻击者在SQL命令中插入有害代码的难度。

⑷ 检查用户输入的合法性，确信输入的内容只包含合法的数据。数据检查应当在客户端和服务器端都执行——之所以要执行服务器端验证，是为了弥补客户端验证机制脆弱的安全性。

在客户端，攻击者完全有可能获得网页的源代码，修改验证合法性的脚本（或者直接删除脚本），然后将非法内容通过修改后的表单提交给服务器。因此，要保证验证 *** 作确实已经执行，唯一的办法就是在服务器端也执行验证。你可以使用许多内建的验证对象，例如RegularExpressionValidator，它们能够自动生成验证用的客户端脚本，当然你也可以插入服务器端的方法调用。如果找不到现成的验证对象，你可以通过CustomValidator自己创建一个。

⑸ 将用户登录名称、密码等数据加密保存。加密用户输入的数据，然后再将它与数据库中保存的数据比较，这相当于对用户输入的数据进行了“消毒”处理，用户输入的数据不再对数据库有任何特殊的意义，从而也就防止了攻击者注入SQL命令。System.Web.Security.FormsAuthentication类有一个HashPasswordForStoringInConfigFile，非常适合于对输入数据进行消毒处理。

⑹ 检查提取数据的查询所返回的记录数量。如果程序只要求返回一个记录，但实际返回的记录却超过一行，那就当作出错处理。

---------------------------------------------------------------------------------------------------------------------------

关键是明白原理，其实防范很简单的，

1.过滤SQL需要的参数中的敏感字符（注意加入忽略大小写）

2.禁用数据库服务器的xp_cmdshell存储过程，删除相应用到的dll

3.屏蔽服务器异常信息

一、建立Access数据库连接的常用方法

在ASP中建立对Access数据库连接的一般格式如下：

它的各步骤及参数意义如下：

第一行程序：利用Server对象的MapPath函数，取得要打开数据库的完整的文件路径，并存储在变量DbPath中。这其中，数据库名是我们需要指定的参数，应该用我们要打开的数据库的实际名称替代。如果数据库名是直接作为常量出现，要用引号将其括起来，并且不能丢掉扩展名。例如数据库是Test.mdb，则该行程序成为：DbPath=Server.MapPath(“Test.mdb”)。

第二行程序：建立一个ADO对象集中的Connection对象，也即连接对象。这是建立数据库连接的初始步骤。执行这行程序后，Conn成为一个连接对象。

第三行程序：利用连接对象Conn的Open方法打开一个指定的数据库。因为我们要打开的是Access数据库，所以要指定ODBC驱动程序参数，表示要透过Access的ODBC驱动程序来访问数据库：driver=。另一个参数dbq= &DbPath，运算后等效于dbq=Server.MapPath(数据库名) ,是利用了第一行的Server.MapPath(数据库名)函数，用来指定要打开的数据库文件。到这里，就已经打开了数据库名指定的数据库。如果数据库名是“test.mdb”，则打开Access数据库Test.mdb。在这一行里指定的参数，要严格按照格式原样写出，不能省略或改动，也没有可变参数。

第四行程序：建立一个ADO对象集中的Recordset对象，以便利用Recordset对象 *** 作数据库（当然，这只是对数据库 *** 作的多种方式之一）。执行这行后，rs就成为一个Recordset对象。

第五行程序：利用rs对象的Open方法打开数据库中的数据表。这其中有四个参数，其意义如下：

数据表名或SQL指令串：在这个参数里指定要打开的数据库内的数据表名称，或者是用SQL的Select指令串确定的数据表的指定范围数据，例如，数据库Test.mdb中有数据表Number，则该参数成为“Number”，注意引号不能丢；若想打开数据表Number中xh字段值小于90的数据记录，则该参数可能成为如下的形式：

“Select * From Number Where xh <90”。

Connection对象：指定已经打开的数据库的Connection对象，在这里固定是Conn，注意无须引号的。

Recordset类型：表示打开数据表的方式，有四种选择。数字0表示只读方式，且当前记录只能下移；数字1表示可读写方式，当前记录可自由上下移动，但不能及时看到别的用户建立的新记录，除非重新启动；数字2表示可读写方式，当前记录可自由移动，而且可以及时看到别的用户增加的新记录；数字3表示只读方式，但当前记录可以自由移动。一般选择2为好，除非为了禁止数据被修改。

锁定类型：这个参数指定数据库的锁定功能。因为网络上的数据库都是多用户的，很可能同时有多个用户在 *** 作数据库。为了避免错误，让同一时间只可能有一个用户修改数据，就要用锁定功能。有四种选择：数字1表示只读方式锁定，用户不能更改数据；数字2表示悲观锁定，当一个用户用rs对象开始修改数据时就锁定数据库，直到用户用rs.Update更新记录后，才解除锁定；数字3表示乐观锁定，只有在数据写入数据库中时候才锁定，不保险，慎用！数字4表示批次乐观锁定，只有在使用rs.UpdateBatch成批更新数据时候才锁定数据记录。属于很少使用的。一般地，使用悲观锁定比较安全，但是效率要低些。

二、使用Recordset对象 *** 作数据

用上面的方法打开数据库，是利用了Recordset对象建立的数据库连接，然后的对数据 *** 作，也要使用该对象。

用rs.open “数据表名”，Conn，2，2 方式打开数据表，就可以方便的对数据进行 *** 作：

常见的 *** 作对象：

rs.addnew :添加一个新记录在数据表末尾。

rs.delete :删除当前记录。

rs.eof :判断是否已过最后记录。

rs.bof :判断是否移过首记录。

rs.update :数据修改生效。

rs(“字段名”)：当前记录指定字段的值。

从数据表中提取数据：用x=rs(“字段名”)的格式，提取数据表中当前记录指定字段的值。

向数据表中填入或修改数据：用rs(“字段名”)=数据值或变量的方式，修改当前记录指定字段的值。

三、使用SQL指令 *** 作数据库

在使用SQL指令对数据库进行 *** 作时，要用如下方式打开数据库和 *** 作：

四、使用DSN连接数据库

在以上连接数据库的方式中，都是在程序中指定数据库，指定ODBC驱动程序。如果数据源有变化，就需要修改程序。如果在系统级别上，预先定义好数据源DSN，就可以避免这个麻烦。

在定义DSN的过程中，就已经指定好了数据源需要的ODBC驱动程序，也指定好了数据库文件的实际路径和名字，我们在程序中，只需要引用预先定义的数据源名DSN即可。

设定义好的DSN为test，则打开数据库的方式为：

五、结束语

在ASP程序中，建立数据库的连接和访问数据库，有很多方式和技术细节，在此难以一一详述。实际上，对SQL Server数据库，DBF数据库，文本文件，电子表格文件等，也都可以很方便的打开和访问，与对Access数据库的访问大同小异而已。如果说方便，Access应该是首选。如果考虑安全保密性，SQL数据库更好些。使用系统数据源DSN的方式建立对数据库的连接，具有更大的灵活性，也更简便些。

---