防范SQL注入

    风靡全球的SQL注入，给很多人留下了深刻的印象，但是在这场攻击过后，查阅了网上目前修补SQL注

入的方法，发现里面都是一些“杂乱无章”的修补代码，对于不会编程的站长们来说，简直是“鸭子看闪

电等于白看”!不如点击他可以帮你轻松解决您网站所存在的注入漏洞吧!

　　小知识:SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目

前市面的防火墙都不会对SQL注入发出警报。如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不

会发觉，要想自己开始就不被他人所注入，请按照以下三步来走：

　　1、工欲善其事，必先利其器

　　SQL注入攻击，虽然俗称“有洞必入、有孔必钻”!但是面对SQL防注入系统，铁一般坚硬的“防盾盔甲

”，这种注入式攻击就会失去，传说中的入侵效果，从而可以还大家一片难得的安宁!

　　小提示:当我们要对自己网站程序做SQL防注入时，需要从网上将SQL防注入系统工具，下载到本地，里

面压缩包内含有三个文件，依次排列名为Neeao_SqlIn.Asp文件，是防SQL注入攻击的主文件程序，其次

Neeao_sql_admin.asp文件，是防止网站后台泄密的管理文件，最后一个SQLIN.mdb是数据库表文件，只是

起到连接其两个数据文件的作用。

　　为了后台管理员密码不为弱口令，请打开装有SQL防注入软件的文件夹，找到其目录下的

Neeao_sql_admin.asp后台管理文件，并且以记事本形式将它打开，然后便于修改其目前的弱口令密码，单

击“编辑”菜单→“查找”选项，打开“查找”对话框，在里面的文本标签内，输入neeao的关键字，单击

“查找下一个”按钮，就会在代码文本内，选中当前后台的弱口令密码，将其替换成自己觉得较为复杂的

密码。操作完毕后，单击“文件”菜单，选择“保存”选项，自己所设置的后台密码，即可修改成功。

　　2、网站上传，让防注入程序监守岗位

　　如果想网站不含有SQL注入漏洞，这里请将自己的网站空间打开，然后将刚才修改的

Neeao_sql_admin.asp文件，以及其同程序内自带的两个文件，一并上传到含有漏洞的网站目录里，而后以

记事本或者WEBSHELL的形式，分别打开网站的所有页面，笔者这里WEBSHELL的形式打开，并且将其防注入

这句代码替换成每个页面的代码开头部分(如图2)。保存以后，SQL注入漏洞就会立即一去不复返!如果你觉

得在每个网站页面插入，防止注入的代码有些麻烦，可以在网站数据库的连接文件中，插入以上所提供的

防止代码，也可达到整站防止SQL注入的效果。

　　3、总结语

　　从“轻松防注”的网站经历中，大家不难发现只要将“SQL防注入系统”运用得当，无需掌握高深的编

程修补技术，也同样可以阻止住SQL注入的再次攻击。