正在阅读：不当编写SQL语句导致系统不安全不当编写SQL语句导致系统不安全

2004-04-01 13:27 出处：中国电脑教育报作者：不详责任编辑：zyq

在一般的多用户应用系统中，只有拥有正确的用户名和密码的用户才能进入该系统。我们通常需要编写用户登录窗口来控制用户使用该系统，这里以Visual Basic+ADO为例：　　一、漏洞的产生 　　用于登录的表　　Users(name,pwd) 　　建立一个窗体Frmlogin，其上有两个文本框Text1，Text2和两个命令按钮cmdok，cmdexit。两个文本框分别用于让用户输入用户名和密码，两个命令按钮用于“登录”和“退出”。　　1、定义Ado Connection对象和ADO RecordSet对象：　　Option Explicit 　　Dim Adocon As ADODB.Connection 　　Dim Adors As ADODB.Recordset 　　2、在Form_Load中进行数据库连接：　　Set Adocon = New ADODB.Connection 　　Adocon.CursorLocation = adUseClient 　　adocon.Open "Provider=Microsoft.jet.OLeDB.4.0.1;Data Source=" && _ 　　App.Path && " est.mdb;" 　　cmdok中的代码　　Dim sqlstr As String 　　sqlstr = "select * from usersswheresname='" && Text1.Text && _ 　　"' and pwd='" && Text2.Text && "'" 　　Set adors = New ADODB.Recordset 　　Set Adors=Adocon.Execute(sqlstr) 　　If Adors.Recordcount>0 Then //或If Not Adors.EOF then 　　.... 　　MsgBox "Pass" //通过验证　　Else 　　... 　　MsgBox "Fail" //未通过验证　　End if