SQL与XSS攻击？

Question

 

我怎么觉得只要在操作数据库时采用存储过程(即使不过滤数据)，显示数据库的数据内容时(比如在label中显示)在用Server.HtmlEncode编码，就应该不会出现SQL与XSS攻击了。

请各位给出意见，谢谢！

Answer 1

关于sql注入攻击，请参考

http://msdn.microsoft.com/en-us/library/ms998271.aspx

http://www.microsoft.com/China/smb/local/security/sql/default.aspx

 

http://msdn.microsoft.com/zh-cn/magazine/cc163917(en-us).aspx

Answer 2

关于XSS

 

How To: Prevent Cross-Site Scripting in ASP.NET

 

http://msdn.microsoft.com/en-us/library/ms998274.aspx

 

Microsoft Anti-Cross Site Scripting Library V1.5

http://msdn.microsoft.com/en-us/library/aa973813.aspx

 

 

 

Answer 3

 

在参数化中或许能减低攻击几率，但不是完全，原先看过某篇文章，通过一定的编码进行存储过程注入。

 

有人喜欢这样写存储过程：

create pro

@strwhere varchar(2000)

exec('select * from [table] where' + strwhere)

 

如果你喜欢这样写，我倒认为还不如不写。

 

在定义参数的时候，最好设定好参数限定的长度，有些时候还需要默认值等。

 

 

Answer 4

 

楼主你好！我加一点就是 观念很重要，那就是 任何时候都不要相信用户 ，客户端的数据都必须严格的过滤和验证。