很久没发帖子。来一帖asp代码sql注入审核工具

无情

不太懂这怎么用啊

木头

狼哥最近在做什么啊兄弟好久都没见你了`

黑ㄨ狼

上面的就是说明书啊

黑ㄨ狼

这是微软的针对asp源码的sql注入检测工具，因微软的是dos下，且只针对单个文件进行检测，所以这里写了个界面改进了一下，对整个目录的整站程序进程检测，有助于检测自己整站的sql注入问题，加强网站安全.

扫描结果解析：

80400 在未经任何输入验证的情况下，从请求对象读取的数据中可能存在 SQL 注入漏洞。这些警告很可能是必须修补的 bug。

80406 在通过某些可能执行数据验证的未知函数调用来传递输入数据的情况下，从请求对象读取的数据中可能存在 SQL 注入漏洞。如果函数调用内部未进行数据验证，这些警告很可能是 bug。否则，这些警告为误报。

80403 来自于后端服务器的数据中可能存在 SQL 注入漏洞。如果这些数据是由最终用户通过其他网站控制，则这些警告很可能是 bug。但是，如果这些数据可信度很高，则这些警告可能不是 bug。作为深度防御策略的一部分，实行查询的参数化不失为一种好做法。

80407 来自于后端服务器并通过某些未知函数调用的数据中可能存在 SQL 注入漏洞。如果这些数据是由最终用户通过其他网站控制，并且未对这些数据进行数据验证，则这些警告很可能是 bug。

80420 函数参数中可能存在 SQL 注入漏洞。这些警告是在函数作用域生成的。因此，如果这些函数参数值的来源可信，则这些警告为误报。如果这些参数值是由最终用户控制，则这些警告很可能是 bug。您可以对这些函数参数使用 __sql_pre_validated 批注来检测最终用户是否能够访问此代码。

80421 在通过某些可能执行数据验证的未知函数调用传递的函数参数中可能存在 SQL 注入漏洞。您可以对这些函数参数使用 __sql_pre_validated 批注并对验证函数使用 __sql_validate 来检测最终用户是否能够访问此代码。

注意：此工具需要安装.net框架.