ASP-Website attackiert

[Frank (no reg)]

Hi,

welche Datenbanktechnologie setzt du ein: MySQL, Access, MS SQL?

Grundsätzlich hilft unter ASP, die Abfragen zu parametrisieren. Dazu benötigst du das ADODB.Command Object, nur mit conn.Execute reicht es da nicht mehr.

Aus

sql = "SELECT * FROM tabelle WHERE feld='" & Request.Form("bla") & "'"

sollte dann werden

sql = "SELECT * FROM tabelle WHERE feld=@param1"
cmd = CreateObject("ADODB.Command")
cmd.CommandText = sql
cmd.Parameters.Add "@param1", Request.Form("bla")

oder so ähnlich ... bin jetzt grad noch nicht auf der Höhe meiner geistigen Fähigkeiten.

Keine Ahnung ob ein MySQL ODBC Treiber das ebenfalls unterstützt.

Gruss, Frank