problema com sql

[gmps 0]

galea, eu tenho:

 

<!--#include virtual="conf.asp"-->
<%
	vuser = Request.Form("usuario")
	vpass = Request.Form("senha")
	
	if vuser = "" or vpass = "" then
		vuser = Request.querystring("usuario")
		vpass = Request.querystring("senha")
	end if 
		
	Dim sql, rs, Conn
	
	sql = "SELECT * FROM login WHERE usuario='" & vuser & "' AND senha='" & vpass & "'" 

e esse codigo esta com falha de sql injection, alguem poderia me dar um help?

 

ja tentei o codigo abaixo antes da linha do sql, e nada tb

function LimparTexto(vuser)
vuser = trim(vuser)
vuser = lcase(vuser)
vuser = replace(vuser,"=","")
vuser = replace(vuser,"\","")
vuser = replace(vuser,"\'","")
vuser = replace(vuser,"\¨","")
LimparTexto = vuser
end Function

vuser = LimparTexto(vuser)

=/

[dark0 0]

sql injection = bug com aspas ?

 

basicamente, você pegaria:

 

vuser = Request.Form("usuario")

vpass = Request.Form("senha")

 

if vuser = "" or vpass = "" then

vuser = Request.querystring("usuario")

vpass = Request.querystring("senha")

end if

 

vuser = Replace(vuser,"'","''")

vpass = Replace(vpass,"'","''")

Dim sql, rs, Conn

 

sql = "SELECT * FROM login WHERE usuario='" & vuser & "' AND senha='" & vpass & "'"