login sql injection

[hostrl 0]

Pessoal estou fazendo um sistema de login beleza;

mais lendo algumas coisas vi que é possivel invadir ele usando sql injection, queria saber de alguma maneira legal do asp num exibir aqueles erros e mostrar meu banco a tabela quando se coloca aspa por exemplo..

se alguem poder me ajudar?

vlw

[eibon 2]

Caro,

Não sei sobre asp,mas em php,pode ser feito de diversas maneiras.

-Checagem usando expressoes regulares.

-Escapar caracteres (addslashes,dentre outras).

-Checagem usando outros métodos/funções.

 

Barrando ou escapando o caracter ' já fica relativamente beleza!

Abraço!

[Ted k' 126]

mostrar os erros é On Error Resume Next, pesquise sobre isso e sobre o SQL, faça replaces nos campos substituindo as aspas simples, as instruções, pesquise no fórum sobre isso!

[hostrl 0]

sim no php pode ser usada a addslashes htmlentites mysql_space_string tem váris ja inclusa no php como sou novo em asp numsei n se alguem poder me ajudar

 

vlw

[Ted k' 126]

leu o que postei?

[eibon 2]

Da uma lida sobre expressões regulares em asp,ai atraves delas você faz a checagem.

Tentando te ajudar,procurei sobre e me deparei com isto:

Link

Creio que vá te ajudar!

Abraço!

 

Ps:Usar uma expressão regular do tipo: "[a-zA-Z-9.@_]" (em PHP e outras linguagens pelo menos,é assim[sem as aspas]).Onde .@_ são os simbolos permitidos!

[hostrl 0]

desculpa tedek mais antes de você comentar ja tava postando pelo que parece, vlw tmb hbc ^ feaqs vou dar uma pesquisada melhor!

[eibon 2]

A host...

No asp,deve ter mysql_real_escape_string ($var);

Desculpem pelo comentário,mas creio que possa ajudar.

[Salgado 4]

A host...

No asp,deve ter mysql_real_escape_string ($var);

Desculpem pelo comentário,mas creio que possa ajudar.

No ASP não existe função nativa para bloquear SQLInjection. Depende do programador fazê-la.

[eibon 2]

Salgado,

É possivel em asp checar os diferentes caracteres de uma string?

LOOP(de i igual a 0 até pos final de str) +

java:

 

varStr.charAt(pos);

php (se var str não for um array):

$varStr[pos]

Se for,crie uma função que cheque se cada caracter de sua string é valido.Sua aplicação deverá depender do retorno de tal função.

java:

int len = varStr.lenght();
for(int i=0;i<=len;i++){
if(varStr.charAt(i) == "caracter proibido") {
 //faz algo 
}

php:

for($i=0;$i<=strlen($varStr);$i++){ 
if($varStr[$i] == 'caracter proibido'){ 
//faz algo
}
}

Use como base depurando (claro,se for possivel).

Abraço!

[Salgado 4]

Para bloquear SQLInjection o básico é validar os campos do FORM com do seu banco de dados. Se no BD for numérico verifique se recebeu apenas números, se é do tipo data verifique se recebeu uma data, se é texto substitua as aspas simples por duas aspas simples.

 

Sim é possível varrer cada caractere de uma string e também existe funções nativas para verificar se uma determinada string existe dentro de outra, bem como também é possível o uso de Expressões regulares.