[ASP/SQL] SQL Injection beveiliging

[Polderdijk]

Ik zat nog even op mijn site te bekijken over de beveiliging van mijn member deel. Nu zie ik hier op GoT een aantal topics over SQL Injection Attacks enzo.

Nu heb ik de volgende code:

ASP:

User = Replace(Request.Form("User"), "'", "''")
Pass = Replace(Request.Form("Pass"), "'", "''")

LeesDB "SELECT * FROM Users WHERE User = '" & User & "'"

If RS.RecordCount = 1 AND RS("Pass") = Pass Then
[...]

Dit werkt goed en als je bijvoorbeeld inlogt met username '-- dan krijg je toch een foutmelding omdat je zoiezo een geldig wachtwoord nodig hebt uit het record wat je ophaalt dmv het ingevulde username!

Maar is dit al goed of zie ik toch iets (heel belangrijks) over het hoofd? Want de DROP, DELETE etc worden allemaar weggequote omdat je altijd wel een singel quote nodig hebt en deze worden auto verdubbeld.

[faabman]

2 woorden: parameterized queries...

zoek daar maar even op in de GoT search, is al vaak voorbij gekomen... (ook voor asp)

[gorgi_19]

De theorie over SQL Injection attacks, zeker in deze context, is al uit den treure besproken. Gebruik anders eens de search of Google; daar komt dit naar voren, met de gevaren, valkuilen, etc.