Sql Injection

[fabio_br]

aí galera

Dúvida da hora, SQL INJECTION, a adobe agora proprietária do Dream lançou um update disponível no link:

http://www.adobe.com/cfusion/knowledgebase...cfm?id=300b670e que é para corrigir falhas de segurança como o SQL INJECTION e problemas na apresentação do Flash.

Na maioria de minhas recordsets o Dream atualizou perfeitamente, porém em uma sql um pouco mais avançada ele zuou com o código, caso tenha alguém para me ajudar como arrumar o código para não ser vítima do SQL INJECTION, eu agradeceria. Segue abaixo meu código o qual gostaria da ajuda:

<%
Dim rsTeste
Dim rsTeste_numRows

Set rsTeste = Server.CreateObject("ADODB.Recordset")
rsTeste.ActiveConnection = MM_testando_STRING

If IsEmpty(Request.Querystring("forca_id")) Then
    If IsEmpty(Request.Querystring("maquina")) Then
        rsPresult.Source = "SELECT DISTINCT  forca_id, nome_maquina, number, image, tamanhos, cores  FROM mecatronica  ORDER BY nome_maquina ASC"
    Else
        rsTeste.Source = "SELECT DISTINCT  forca_id, nome_maquina, number, image, tamanhos, cores  FROM mecatronica WHERE forca_id=" & Request.QueryString("forca_id") & " ORDER BY nome_produto ASC"
    End If
Else
    rsTeste.Source = "SELECT DISTINCT  maquina_id, nome_maquina, number, image, tamanhos, cores  FROM mecatronica WHERE fitness_id=" & Request.QueryString("maquina_id") & " ORDER BY nome_produto ASC"
End If

rsTeste.CursorType = 0
rsTeste.CursorLocation = 2
rsTeste.LockType = 1
rsTeste.Open()

rsTeste_numRows = 0
%>

B)

[Deividy]

da onde esta vindo esse campo?

Request.Querystring("forca_id"))

você precisa de um tipo diferente de vaziu ou e um replace substituindo a aspas simples por dupla!

INJECTION é quando o carilha consegue pular seu sistema com aspas simples

[Guest - fabio_br -]

A request Query está vindo de um menu onde é feita a seleção para máquinas ou máquinas de força, lá ele joga na url os valores para akela recordset capturar os dados.

[Deividy]

se ele tem mesmo que vir pela url então antes de ficar aqui lhe explicando um monte de coisa de uma lida nisso por favor, tente fazer se tiver alguma dificuldade pode me procurar que lhe ajudo

http://scriptbrasil.com.br/forum/index.php...st&p=163286

abraço!