首页 诗词 字典 板报 句子 名言 友答 励志 学校 网站地图
当前位置: 首页 > 教程频道 > 网站开发 > asp.net >

送分题：这是什么意思？解决思路

2012-01-09 
送分题：这是什么意思？有用户访问我的网站时，访问的页面变成了下面的样式：userpost.aspx?bbsid1&bbcid41%

送分题：这是什么意思？
有用户访问我的网站时，访问的页面变成了下面的样式：
userpost.aspx?bbsid=1&bbcid=41%20And%20Cast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00)%20a


正确的应该是：userpost.aspx?bbsid=1&bbcid=41
后面多了一堆是干什么的？


[解决办法]
url编码了可能
[解决办法]
bbcid 的值就是 41%20And%20Cast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00)%20a
[解决办法]
编码了
[解决办法]
进行编码了
就是这么一长串的东西。
[解决办法]
你看百度搜索不也是跟着类似一长串的东西么？

[解决办法]
既然是送分题
就多给点分哈。
[解决办法]
两个小裤衩不够穿
嘎嘎：）
[解决办法]
谢谢LZ：）

[解决办法]
多给点分
[解决办法]
传值编码了，或者传值有中文
[解决办法]

探讨
引用:
进行编码了
就是这么一长串的东西。

[解决办法]
使用get方式进行页面传值时,会将上个页面的form标记之内的所有控件都传输过来的.如果你懂asp应该很容易理解这个.
在asp.net中,MS已经将一些细节隐藏起来了.
userpost.aspx?bbsid=1&bbcid=41%20And%20Cast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00)%20a

你查一下上一个页面内,是否有一个叫bbcid的客户端控件.看看其值.或者是后台代码中生成的一个传值的变量.
[解决办法]
你的系统自动生成的？这样的值就是
41 And Cast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00) a 
为什么会产生，我也不知道，没有遇见过阿
[解决办法]
是你系统自己生成的吧。你可以看到这是一个符合查询条件啊：
bbcid=41 And Cast(...) //所有%20就是空格的意思

这不是一个典型的SQL吗？有And也有Cast了。所以要么是自动生成的，要么是你的程序逻辑有问题。
[解决办法]
接F
















编码
[解决办法]
这个可能是客户端访问网页是往里面加东西。有可能是攻击哦
[解决办法]
应该是对你的网站进行sql注入
看 http://www.qqgb.com/NetProgramme/ASP/ASPJQ/NetProgramme_163017.html
[解决办法]
接分
[解决办法]
感觉有点象是SQL注入式攻击,编码应该不会产生如and和cast的
[解决办法]
不太像编码.
[解决办法]
学习～

[解决办法]
不懂，学习！
[解决办法]
接你的分
[解决办法]
再给你顶起来
[解决办法]
jf
------解决方案--------------------


continue to jf
[解决办法]
confused
[解决办法]
41%20And%20Cast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00)%20a 
当成一个值
[解决办法]
有用户访问我的网站时，访问的页面变成了下面的样式

你估计是在iis日志看到这种访问的，这表明有人在尝试使用sql注入攻击你的服务器
[解决办法]
一般危害不大，好玩而已，最好修改代码来改善一下，如果被人改了主页就不好玩了
[解决办法]
不清楚，学习下！
[解决办法]
userpost.aspx?bbsid=1&bbcid=41%20And%20Cast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00)%20a 


 你后面的这个应该是被编码了!


[解决办法]
url编码的嘛，接分
[解决办法]
web.config 

<sessionState ... cookieless=true

禁止了用cookie标示session 后的结果

[解决办法]
不是傳值中文就是傳值構造函數
[解决办法]
%20是空格
[解决办法]
接分~
[解决办法]
明显的sql注入攻击
[解决办法]
http://topic.csdn.net/u/20071117/09/bd8347ef-4784-428e-a61d-752981da6898.html
这里有解决方法
[解决办法]
检查你的SQL有没有打补丁,没有的话要打上补丁,检查的方法是在查询分析器中运行:
select @@version
如果出来的版本号是8.00.760以下,则表明你未安装sp3的补丁,要装上.

SQL补丁下载:
全部补丁的位置
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=9032f608-160a-4537-a2b6-4cb265b80766
应该安装的是
http://download.microsoft.com/download/d/d/e/dde427eb-0296-4eac-a47c-d11a66b03816/chs_sql2ksp3.exe

注意下载后,执行的时候是解压,要在解压后的目录中执行setup.bat才是真正的安装


--作好SQL的安全管理
--作者:邹建

首先,做好用户安全:

--简单的,只允许sql的用户访问sql(防止利用administrator组用户访问)

1.企业管理器--右键SQL实例--属性--安全性--身份验证--选择"sql server和windows"--确定

2.企业管理器--安全性--登陆--右键sa--设置密码--其他用户也设置密码

3.删除用户:
BUILTIN\Administrators
<机器名>\Administrator --这个用户不一定有
这样可以防止用windows身份登陆SQL

4.设置进入企业管理器需要输入密码
在企业管理器中
--右键你的服务器实例(就是那个有绿色图标的)
--编辑SQL Server注册属性
--选择"使用 SQL Server 身份验证"
--并勾选"总是提示输入登录名和密码"
--确定

--经过上面的设置,你的SQL Server基本上算是安全了.

v

其次,改默认端口,隐藏服务器,减少被攻击的可能性

SQL Server服务器
--开始
--程序
--Microsoft SQL Server
--服务器网络实用工具
--启用的协议中"TCP/IP"
--属性
--默认端口,输入一个自已定义的端口,比如2433
--勾选隐藏服务器


[解决办法]

探讨
进行编码了
就是这么一长串的东西。

[解决办法]
探讨
既然是送分题
就多给点分哈。

[解决办法]
探讨
传值编码了，或者传值有中文

[解决办法]
up
[解决办法]
你传给url的参数无效。我就遇见过类似的问题。
[解决办法]
对后面就是asp.net的编码，楼主接点分！
[解决办法]
http://localhost/sysuser/SysUserLO/(ipjbgw55qznyayihk4v5aquw)/Login.aspx跟這個有點相似，是編碼過的。接分接分
[解决办法]
up
[解决办法]
C# code
string str=你的那个字符串HttpUtility.UrlDecode(str);可以解码出来看,
[解决办法]
SQL参考：
IS_SRVROLEMEMBER
Indicates whether the current user login is a member of the specified server role.

Syntax
IS_SRVROLEMEMBER ( 'role' [ , 'login' ] )

用于测试用户权限

sql注入中经常用到，楼主查下sql注入的知识，就知道了~

good luck

[解决办法]
探讨
引用:
进行编码了  
就是这么一长串的东西。 

[解决办法]
IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00
这是什么?还真没见过..


[解决办法]
接分喽。

[解决办法]
失主 施舍一点啊
[解决办法]
SQL注入
[解决办法]
编码问题...
散分吧........
[解决办法]
觉得应该是 SQL注入
[解决办法]
顶并接分！！
[解决办法]
学习
[解决办法]
URL编码的问题
[解决办法]

  顶并接分！！
[解决办法]
探讨
既然是送分题 
就多给点分哈。

[解决办法]
我也觉得是Sql 注入
呵呵
[解决办法]
什么一个个输入？
[解决办法]
你传递的有汉字么？汉字的话，就对其进行编码了，所以会很长，
至于你是否有防止sql注入，我不清楚，不过最好写一些方法，防止sql注入
[解决办法]
不过从那一串字符串上看，好象是sql注入
[解决办法]
有点被人sql注入，确实不大向系统编码造成的。详细再检测下 
 
[解决办法]
上面的各位查一下SQL联机丛书.就知道那句语句代表什么了.IS_SRVROLEMEMBER是用于判断当前的登录角色是否属于某个用户组.所以不用问,肯定是在被人进行SQL注入.
[解决办法]
sql注入

如果你是通过构造sql语句执行时,没有过滤掉sql关键字,有可能数据被删除

例如你够造的sql语句如下

string sql="select * from news where id="+Request.QueryString["id"];

当正常访问为news.aspx?id=1时,
sql语句为"select * from news where id=1"

但是我如果这样输入时news.aspx?id=1;delete from news; ,后面语句为猜测的
这时sql语句为"select * from news where id=1;delete from news;"

如果我猜测你的表名称对了,你执行上面的sql语句时,结果就不用我多说了吧...
[解决办法]
接分中........
[解决办法]
楼主送分，岂能不接？
URL编码问题
[解决办法]
探讨
sql注入 

如果你是通过构造sql语句执行时,没有过滤掉sql关键字,有可能数据被删除 

例如你够造的sql语句如下 

string sql="select * from news where id="+Request.QueryString["id"]; 

当正常访问为news.aspx?id=1时, 
sql语句为"select * from news where id=1" 

但是我如果这样输入时news.aspx?id=1;delete from news; ,后面语句为猜测的 
这时sql语句为"select * from news where id=1;delete from news;" 
…

[解决办法]
探讨
IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00 
这是什么?还真没见过.. 

[解决办法]
sql注入攻击
[解决办法]
接
[解决办法]
很明显嘛...被使用SQL注入攻击了
[解决办法]
URL编码orSQL注入你都有必要去code避免注入！
[解决办法]
JF
[解决办法]
编码了么。
[解决办法]
jf
[解决办法]
接分而来。
[解决办法]
探讨
很明显嘛...被使用SQL注入攻击了

[解决办法]
相当于一个查找跳转吧
[解决办法]
学习
[解决办法]
要避免注入了！
[解决办法]
url编码，避免注入的
[解决办法]
来晚了，别人已经回答过了，偶接分行不
[解决办法]
%20And%20Cast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00)%20a  
这段码你把%20修改为空格你再看看这是个什么东西

userpost.aspx?bbsid=1&bbcid=41 And Cast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00) a  

[解决办法]
我来接一下分吧。
------解决方案-------------------- 
 
进行编码了  
就是这么一长串[color=#FF6600][/color]的东西。
[解决办法]
我点~ 我顶~ 我点
[解决办法]
你对参数进行加密编码！ this.LabelMsg.Text = "注册成功";
                       string UserName =Convert.ToBase64String(System.Text.Encoding.Default.GetBytes(strUserName));
                       string UserPwD= Convert.ToBase64String(System.Text.Encoding.Default.GetBytes(strUserPassWord));
                       Response.Redirect("RegisterSucceed.aspx?url="+strUrl + "&username=" + UserName + "&userpwd=" + UserPwD);
[解决办法]
http://msdn2.microsoft.com/en-us/library/ms176015.aspx
看下这个
[解决办法]
登录时候的角色问题
[解决办法]
你用的那个唯一编号读取可能出问题...或是过程有问题吧...
[解决办法]
探讨
你对参数进行加密编码！ this.LabelMsg.Text = "注册成功"; 
                        string UserName =Convert.ToBase64String(System.Text.Encoding.Default.GetBytes(strUserName)); 
                        string UserPwD= Convert.ToBase64String(System.Text.Encoding.Default.GetBytes(strUserPassWord)); 
                        Response.Redirect("RegisterSucceed.aspx?url="+strUrl + "&username=" + UserN…

[解决办法]
初步看起来是编码问题 ，但是自己研究明显的SQL注入
读书人精选
热点排行