单引号注入SQL，取代函数，要怎么写

caiyakang 发布于 2005-07-07 00:12， 2174 次点击

单引号注入SQL，取代函数，要怎么写

5 回复

无根泉2005-07-07 08:16

function ck(str)
str=server.htmlencode(str)
str=replace(str,"'","")
str=replace(str,chr(39),"")
str=replace(str,vbcrlf,"<br>")
str=replace(str,chr(13),"<br>")
ck=str
end function

使用：
username=ck(request.form("username"))

caiyakang2005-07-07 08:53

如果用取代的话，会把SQL本身的单引号给取代掉吗。

[此贴子已经被作者于2005-7-7 8:56:04编辑过]

hxfly2005-07-07 09:34

概念错误
不是取代SQL语句的引号
是取代相应的查询变量的引号
如你要查询一个NAME
则
NAME=REQUEST("NAME")
NAME=CK(NAME)

SQL="SELECT * FROM TABLE WHERE NAME='"&NAME&"'"

并不是SQL=CK(SQL)

belin20002005-07-07 12:06

.....

月夜NO风2008-08-19 16:30

[bo][un]无根泉[/un] 在 2005-7-7 08:16 的发言：[/bo]

function ck(str)
str=server.htmlencode(str)
str=replace(str,"'","")
str=replace(str,chr(39),"")
str=replace(str,vbcrlf,"<br>")
str=replace(str,chr(13),"<br>")
ck=str
end function

使用：
use ...

今天借用了一下，果然好用！谢谢！！！！！！！！呵呵，发帖前搜一搜，有问题不用求人！
哈哈！