Classic ASP SQL Injection Sorunu

Merhaba arkadaşlar,

Büyük bir sitemiz var. Classic ASP ile yazılmış. Kodlama kalitesinden hiç bahsetmeyeceğim zaten. Geçenlerde SQL inject yemiş. Menü kodlarını silinmişti. Düzelttim ama sağolsun iyi niyetli arkadaş yine sql inject atıp açıklarınızı kapatın yazmış. Siteyi açık açık veremeyeceğim. Yardımcı olacak arkadaşlara pm ile verebilirim. Bu sorunu nasıl düzeltebilirim. Classic ASP hiç bilmiyorum ve kullanmadım.

Şu cevaptaki fonksiyonu kullanabilirsiniz. Request.QueryString ve Request.Form metodlarına uygulamanız gerekiyor.

Örnek kullanım: id = SQLInject(Request.QueryString("id"))

Querystringler için aşağıdaki fonksiyonu kullanabilirsiniz.

'************************************************* **************
Dim Web_SqlInject
Web_SqlInject = "select,insert,update,delete,having,',+,union,`,<, >,database,md5,substring,drop,SELECT,INSERT,UPDATE ,DELETE,HAVING,UNION,DATABASE,MD5,SUBSTRING,DROP,% 27,[query]"

'************************************************* **************


'************************************************* **************
Dim qstr
qstr = request.servervariables("QUERY_STRING")
If isSQLInject(qstr) = True Then
response.redirect "https://www.xxx.com/"
End If

'************************************************* **************
Function isSQLInject(StrPara)
isSQLInject = False
If IsNull(StrPara) Then Exit Function
SqlInject = Split(Web_SqlInject, ",")
For ik = 0 To UBound(SqlInject)
If InStr(LCase(StrPara), LCase(SqlInject(ik))) <> 0 Then
isSQLInject = True
Exit For
End If
Next
End Function
'************************************************* **************

Siteniz nedir? PM atarsanız 3 satır kod ile çözelim. Tek tek bütün queryleri düzeltmen çok zamanını alır.

formlar için varsa paylaşabilir isen sevinirim hocam querystringler için fonksiyonumu kullanıyorum.

For Each formItem In Request.Form
If isSQLInject(formItem) = True Then
Response.Redirect "https://www.xxx.com/"
End If
Next

Sayfanın en üstüne koyman yeterli hocam. Senin fonksiyonuna göre yazdım.

Bu sorunu Microsoft'un web.config ayarları ile çözmesi gerekiyor aslında. Milleti uğraştırıp duruyorlar yıllardır. Belki de vardır bununla ilgili bir şey de biz bilmiyoruzdur.