[ASP] Website gehackt (tot 2x toe)

[daanmsvl]

Ik draai een website met ASP en laad daarbij een database voor de info. Die database is tot 2x toe gehackt, mensen kunnen blijkbaar er extra records invoegen met HTML code die dan vervolgens naar een of andere sex site verwijst. Heel vervelend dus.

Ik denk dat mijn fout is dat ik de database de zelfde naam heb gegevens als de website. Stel bv dat het om de microsoft website gaat, dan heet mijn database microsoft.mdb

Maar wellicht zijn er andere dingen die ik over het hoofd zie. Met andere woorden: Hoe houd ik mijn website hack-vrij???

[gorgi_19]

Door je code te controleren op SQL Injection en XSS-attacks (Cross site Scripting Attacks)

[daanmsvl]

Vrees dat beide termen mij niks zeggen...

[gorgi_19]

daanmsvl schreef op zondag 04 september 2005 @ 13:28:
Vrees dat beide termen mij niks zeggen...

Dan gooi je beide termen in Google, of je huurt iemand in.

[ Voor 6% gewijzigd door gorgi_19 op 04-09-2005 13:29 ]

[markvt]

kan iemand zoeken of accepteer je input voor je sql query waar bijvoorbeeld dit mogelijk is :

default.asp?pagina=1

[daanmsvl]

Ben ik inmiddels druk mee bezig dank voor de tip

[daanmsvl]

markvt schreef op zondag 04 september 2005 @ 13:32:
kan iemand zoeken of accepteer je input voor je sql query waar bijvoorbeeld dit mogelijk is :

default.asp?pagina=1

Ja bijvoorbeeld

viewtext.asp?Textlabel=3
of
viewnews.asp?NewsID=5

[gorgi_19]

Tip: Maak er eens viewnews.asp?NewsID=5' van (met die single quote), bekijk de foutmelding. Zal ik de Delete-statements bakken of wil je ze zelf bedenken?

en sowieso, als je gehacked bent..... Controleer je logbestanden!

[ Voor 28% gewijzigd door gorgi_19 op 04-09-2005 13:34 ]

[markvt]

Dan kan het zijn dat de inputwaarde die daar meegegeven word niet gecontroleerd wordt, en dat daardoor een SQL injectie kan gebeuren.

[daanmsvl]

markvt schreef op zondag 04 september 2005 @ 13:34:
Dan kan het zijn dat de inputwaarde die daar meegegeven word niet gecontroleerd wordt, en dat daardoor een SQL injectie kan gebeuren.

Hmm dus ik zou iets moeten toevoegen:

code:

  strNewsID = request("NewsID")
  strNewsID = replace(strNewsID, "'", "")

???

Dat zou dus enige bescherming bieden als ik je goed begrijp??

[gorgi_19]

Beste is om Request.Querystring te gebruiken ipv Request en Parametrized Queries (Nieuwe googleterm )

[Willem]

Hiermee moet je er wel uitkomen:

gorgi_19:
Door je code te controleren op SQL Injection en XSS-attacks (Cross site Scripting Attacks)

Neemt niet weg dat dit topic niet in W&G thuishoort, maar het was in Programming & Webscripting ook op slot gegaan.