Haaa, web bị lỗi thì đưa lên làm gì nhỉ, đưa lên để làm trò cười à. Có phải chủ yếu đưa lên để nhờ mọi người test lỗi cho không. Bạn nào pro fix hộ lỗi SQL Injection cho anh ấy đi, đảm bảo fix được sẽ có người bị mất $ đấy.
ai muốn fix lỗi sql injection tớ sẽ hướng dẫn. vì những cái web share free thì bao giờ cũng vậy sau đây là cách fix sql injection cho một trang web đăng nhập
<!--#includes file="conn.asp"-->
<!--#include file="hexpass.asp" -->
<meta <b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>"Content-Type" content="text/html; charset=utf-8">
<body style="font-family: tahoma;" leftmargin="0" bottommargin="0" rightmargin="0" topmargin="0" bgcolor="#000000">
<%
Response.Buffer = True
Response.Expires = -1
Response.ExpiresAbsolute = Now() - 2
Response.AddHeader "pragma","no-cache"
Response.AddHeader "cache-control","private"
Response.CacheControl = "No-Store"
sub Anti(antoan)
if Instr(LCase(antoan),";")<>0 then response.end
if Instr(LCase(antoan),"-")<>0 then response.end
if Instr(LCase(antoan),"--")<>0 then response.end
if Instr(LCase(antoan),"[")<>0 then response.end
if Instr(LCase(antoan),"]")<>0 then response.end
if Instr(LCase(antoan),"{")<>0 then response.end
if Instr(LCase(antoan),"}")<>0 then response.end
if Instr(LCase(antoan),"update")<>0 then response.end
if Instr(LCase(antoan),"delete")<>0 then response.end
if Instr(LCase(antoan),"1=1--")<>0 then response.end
if Instr(LCase(antoan),"'")<>0 then response.end
if Instr(LCase(antoan),"=")<>0 then response.end
if Instr(LCase(antoan),"+")<>0 then response.end
if Instr(LCase(antoan),"(")<>0 then response.end
if Instr(LCase(antoan),")")<>0 then response.end
if Instr(LCase(antoan),"&")<>0 then response.end
if Instr(LCase(antoan),"%")<>0 then response.end
if Instr(LCase(antoan),"$")<>0 then response.end
if Instr(LCase(antoan),"#")<>0 then response.end
if Instr(LCase(antoan),"*")<>0 then response.end
if Instr(LCase(antoan),"~")<>0 then response.end
if Instr(LCase(antoan),"`")<>0 then response.end
if Instr(LCase(antoan),"|")<>0 then response.end
if Instr(LCase(antoan),"\")<>0 then response.end
if Instr(LCase(antoan),"/")<>0 then response.end
if Instr(LCase(antoan),"_")<>0 then response.end
if Instr(LCase(antoan),"^")<>0 then response.end
if Instr(LCase(antoan),"or")<>0 then response.end
end sub
strUsername = Trim(Mid(Request.Form("UserName"), 1, 15))
strPassword = LCase(Trim(Mid(Request.Form("Password"), 1, 15)))
strUserName = Replace(strUserName, "'", "''", 1, -1, 1)
Anti(strUsername)
Anti(strPassword)
sSQL = "SELECT * FROM tblConfig WHERE Username='" & strUserName & "';"
Set adoRec = Server.CreateObject("ADODB.Recordset")
adoRec.CursorType = 2
adoRec.LockType = 3
adoRec.Open sSQL, adoConn, 3, 3
if adoRec.EOF or adoRec.BOF then
response.write "<script language=javascript>alert('Tên đăng nhập không đúng');history.back()</script>"
response.end
end if
strEncyptedPassword = strPassword
strEncyptedPassword = HashEncode(strEncyptedPassword)
IF adoRec("Password") = strEncyptedPassword THEN
Session("User") = strUsername
Session("Login") = True
adoRec.Update
adoRec.Requery
Response.Redirect "index.asp"
Else
response.write "<script language=javascript>alert('Mật khẩu không đúng');history.back()</script>"
response.end
End If
Set adoRec=Nothing
%>
chú ý đến những đoạn tô đậm, với cái sub antoan() nó sẽ loại ra những ký tự đặc biệt khi có những kẽ hack thì nó sẽ ra màn hình đen thui, có lẻ nó sẽ chống được 95% về mặt web. còn nó hacks đường khác thì tui bó tay. nếu ai không hiểu cách chống hack trên thì cứ post tui biết thì tui hướng dẫn. cũng học hỏi từ người này rồi bày cho người khác thôi. búa rìu không dám qua mắt thợ, nhưng biết chút ít chia sẽ cho anh em còn hơn những kẻ biết nhiều mà luốn muốn trục lợi ích kỹ. mong là mọi người đều đóng góp ý kiến để FR ngày càng phát triển.:haha: