gli ho messo questa funzione dove c'erano delle select

function antinj(txt)
testo=trim(txt)
testo=replace(testo,"%20"," ")
testo=replace(testo,"'","''")
testo=replace(testo,"@","--")
testo=replace(testo,"%","--")
testo=replace(testo,"update","--")
testo=replace(testo,"DECLARE","--")
testo=replace(testo,"declare","--")
testo=replace(testo,"a.","--")
testo=replace(testo,"b.","--")
testo=replace(testo,"set","--")
testo=replace(testo,"' having 0=0--","--")
testo=replace(testo,"' group by members.UserID having 0=0--","--")
testo=replace(testo,"' group by members.UserID, members.Password having 0=0 --","--")
testo=replace(testo,"' union select min(UserID),1,1,1 from members where UserID > 'a'--","--")
testo=replace(testo," ' union select Password,1,1,1 from members where UserID = 'admin'--","--")
testo=replace(testo,"' or 0=0-","--")
testo=replace(testo,"test' or 0=0--","--")
antinj=testo
end function

@cali1981 said:

allora come ti accorgi dei sql injection?

ah non dubitare me ne accorgox:x
vado sul sito e non funziona niente..... apro sql manager e vedo che in tutte o parte delle tabelle c'è stato inserito (a volte tagliando il contenuto delle tabelle stesse) un codice <script src= eccetera eccetera

A che serve questa funzione?

@cali1981 said:

A che serve questa funzione?
a non permettere che vengano usati caratteri riservati nell'inserimento o nell'intercettazione di select
Ad esempio se usi un ' ti rimpiazza con 2' e sql non ti puo rendere una stringa di errore

ok allora che altri problemi ci sono?

eh,..... che altri problemi ci sono?
che mi entrano ugualmente.... non so da dove ma mi entrano

ah quindi quello script in realtà non funziona. Sicuro di averlo messo in tutte le parti tipo textbox o altri input?

si dannazione.......e non ne cavo le zampe....

A me il sito va molto male, hai controllato gli id che passi nella url? Quali sono le tabelle con <scrip...?

ecco ...in questo momento siamo sotto attacco

capisco. Gli id delle notizie li controlli? Quali sono le tabelle? In ogni caso, cerca tramite log di capire chi è se ce la fai...

sono disperato.....

Si ho capito, ma rispondi e vediamo di risolvere...

DIMMI che devo rispondere.....vuoi le password di accesso dell sql?
se vuoi dammi il tel che ti telefono

adesso mi è toccato fare il restore alle 8 di sera di ieri

Ti chiedevo, gli id delle notizie, li controlli? Cioè quando fai idn=...? Quali sono le tabelle dove trovi dentro <scrip...?

@cali1981 said:

Ti chiedevo, gli id delle notizie, li controlli? Cioè quando fai idn=...? Quali sono le tabelle dove trovi dentro <scrip...?
il problema è quello...... un po tutte le tabelle sono soggette a iniezione.... è questo quello che mi fa impazzire

Capisco, quello è possibile farlo perchè sql restituisce la lista delle tabelle, quindi un volta che si è dentro si può fare quello che si vuole anche non conoscendo il nome delle tabelle. Le stringhe o numeri passati tramite url li controlli?

Procedi con logica e non devi assolutamente farti prendere dal panico.

Prima cosa fondamentale guarda nei log files se trovi qualche informazione riguardo particolari stringhe.
Seconda potrei essere attaccato da uno di quei "bot" che eseguono sql injection a tappeto infatti loro usano un codice in esadecimale o qualcosa di simile dove poi usando una conversione con il comando CAST si trasformano in istruzioni sql dove non fanno altro che inserire in ogni campo testuale sia ntext sia nvarchar un codice <script.... che mira a far eseguire sulla macchina del tuo visitatore un codice javascript maligno, se non ricordo male ci sono diverse varianti ed il codice javascript che ti inseriscono risiede su server .cn (Cinesi).

Ora leggi i log files e se non ti riportano le querystring modifica le opzioni di IIS affinche te le includano.

Se invece non entrano dal web ma direttamente in sql server, l'unico modo è cambiare le pass dell'utente "sa" e degli utenti che utilizzi per la connessione al db.

Facci sapere, non andare nel panico che tutto si risolve

li controllo..... ma non serve a niente.
Sto pensando di fare qualcosa per non far passare a prescindere qualunque istruzione che abbia <script src= ma per il momento non mi viene in mente niente