总结一下网站注入与防范的方法

1.首先我会检查一下服务器配置，重新配置一次服务器安全，可以参考 
http://hi.baidu.com/zzxap/blog/item/18180000ff921516738b6564.html 

2.其次，用麦咖啡自定义策略，即使网站程序有漏洞，别人也很难在文件上写入代码了。 
参考自定义策略，有了这个策略，再烂的程序，你也无法写入我的文件 
http://hi.baidu.com/zzxap/blog/item/efe093a7e0f2c190d04358ef.html 

3.可以用网络超级巡警删除被注入的JS代码。 
参考 
http://blog.csdn.net/zzxap/archive/2010/04/07/5459065.aspx

4.如何批量删除数据库中被注入的代码？ 
在数据库查询分析器运行这段代码即可 

SQL code

  


    

   DECLARE

    

   @fieldtype

    sysname 

   SET

    

   @fieldtype

   =

   '

   varchar

   '

    

   --

   删除处理

    

   DECLARE

    hCForEach 

   CURSOR

    GLOBAL 

   FOR

    

   SELECT

    N

   '

   update 

   '

   +

   QUOTENAME

   (o.name) 

   +

   N

   '

    set 

   '

   +

    

   QUOTENAME

   (c.name) 

   +

    N

   '

    = replace(

   '

    

   +

    

   QUOTENAME

   (c.name) 

   +

    

   '

   ,

   ''

   <script_src=http://ucmal.com/0.js> </script>

   ''

   ,

   ''''

   )

   '

    

   FROM

    sysobjects o,syscolumns c,systypes t 

   WHERE

    o.id

   =

   c.id 

   AND

    

   OBJECTPROPERTY

   (o.id,N

   '

   IsUserTable

   '

   )

   =

   1

    

   AND

    c.xusertype

   =

   t.xusertype 

   AND

    t.name

   =

   @fieldtype

    

   EXEC

    sp_MSforeach_Worker 

   @command1

   =

   N

   '

   ?

   '

    

  

5.创建一个触发器，只要有 </script>就不给插入，对性能会有点影响

SQL code

  


    

   create

    

   trigger

    tr_table_insertupdate 

   on

    tablename 

   for

    

   insert

   ,

   update

    

   as

    

   if

    

   exists

    ( 

   select

    

   1

    

   from

    inserted 

   where

    data 

   like

    

   '

   %</script>%

   '

    ) 

   begin

    

   RAISERROR

    (

   '

   不能修改或者添加

   '

   ,

   16

   ,

   1

   ); 

   ROLLBACK

    

   TRANSACTION

    

   end

    

   go

    

  

6.最重要的还是程序的写法，用参数化SQL或存储过程 
例如 

C# code

  


    

   protected

    

   void

    cmdok_Click(

   object

    sender, EventArgs e) { 

   //

   添加信息

    

    StringBuilder sql 

   =

    

   new

    StringBuilder( 

   "

    insert into m_phone ( pid,PhoneName,num,price,phonetype,onSellTime,color,weight,Video,Camera,phoneSize,phoneSystem,Memorysize,PhoneDesc,Standbytime,ScreenSize,Frequency,InputMethod,Soundrecord,gps,fm,mp3,email,Infrared,game,clock,Calendar,Calculator,Bluetooth) 

   "

   ); sql.Append(

   "

    values (@pid,@TextPhoneName,@Textnum,@Textprice,@Dropphonetype2,@TextonSellTime,@Textcolor,@Textweight 

   "

   ); ................. SqlParameter[] paras 

   =

    { 

   new

    SqlParameter(

   "

   @pid

   "

   , SqlDbType.Int, 

   4

   ) , 

   new

    SqlParameter(

   "

   @TextPhoneName

   "

   , SqlDbType.NVarChar, 

   50

   ) , 

   new

    SqlParameter(

   "

   @Textnum

   "

   , SqlDbType.Int, 

   4

   ) , 

   new

    SqlParameter(

   "

   @Textprice

   "

   , SqlDbType.Int, 

   4

   ) , 

   new

    SqlParameter(

   "

   @Dropphonetype2

   "

   , SqlDbType.VarChar, 

   20

   ) , 

   new

    SqlParameter(

   "

   @TextonSellTime

   "

   , SqlDbType.DateTime, 

   8

   ) , 

   new

    SqlParameter(

   "

   @Textcolor

   "

   , SqlDbType.VarChar, 

   20

   ) , 

   new

    SqlParameter(

   "

   @Textweight

   "

   , SqlDbType.NVarChar, 

   50

   ) , ........... }; 

   string

   [] stra 

   =

    {Dropphonetype.SelectedValue,TextPhoneName.Text , Textnum.Text, Textprice.Text, Dropphonetype2.SelectedValue, TextonSellTime.Text, Textcolor.Text, Textweight.Text, .............}; 

   int

    a

   =

   stra.Length; 

   int

    j; 

   for

    ( j 

   =

    

   0

   ; j 

   <

    a; j

   ++

   ) { paras[j].Value 

   =

    stra[j]; } 

   int

    strpid 

   =

    

   0

   ; 

   string

    sqla 

   =

    sql.ToString(); 

   try

    { SqlHelper.ExcuteNonQurey(sqla, CommandType.Text, paras);

   //

   执行添加数据

    

    strpid 

   =

    Convert.ToInt32(SqlHelper.ExcuteSclare(sqla, CommandType.Text, paras)); 

   //

   获取刚才插入的id号

    

    } 

   catch

    (SqlException ex) { cmdreturn.Text 

   =

    ex.Message.ToString(); } cmdreturn.Text 

   =

    strpid.ToString(); 。。。。。。。。。 

  

7.通过URL传递的参数要用加密解密 

C# code

  


    传输 

   string

    szTmp 

   =

    

   "

   safdsfdsafdsfytrsd

   "

   ; szTmp 

   =

    Server.UrlEncode(szTmp); 接收 STRING STRA

   =

   Server.UrlDecode(request.querystring(szTmp)); 

  

8.把要使用的参数处理一下单引号，再放到SQL里面  
  例如 string stra=aa.replace("'","''") 

  用参数化SQL可以不用处理单引号 
  指定参数类型和过滤掉单引号，就可以杜绝99.9%入侵了 


另外说一句：网上那些被人奉如圣经的过滤 update insert  等关键字的程序是用处不大的  upupdatedate 过滤掉 update还是update 
还会造成不必要的麻烦