🚀 go-pugleaf

hej fandt fejlen der skulle st� 

<%
' Databaseforbindelse - husk at angive sti til din database
Set Conn = Server.CreateObject("ADODB.Connection")
DSN = "DRIVER={Microsoft Access Driver (*.mdb)}; "
DSN = DSN & "DBQ=" & Server.MapPath("/admin/db/db.mdb")
Conn.Open DSN

strSQL = "Select * From lbtblwik Order by H1" 
Set rs = Conn.Execute(strSQL) 
 
Do 
    ' H1 
    strH1 = rs("H1") 
  
    ' lav et link til lbwikis.asp  
    strLink = "<a href='../site/lbwiki/lbwikis.asp?id=" & rs("Id") 
 & "&pla=" & rs("H1") & "'>" & strH1 & "</a>" 
  
    ' Liste med links 
    Response.Write "<li>" & strLink & "</li>" 
  
    rs.MoveNext 
 Loop While Not rs.EOF 
  
 Conn.Close 
 Set Conn = Nothing 
 %> 


men der kommer et nyt problem frem p� den nye side som siger 


Microsoft OLE DB Provider for ODBC Drivers error '80040e10'

[Microsoft][ODBC Microsoft Access Driver] Too few parameters.
Expected 1. 


den virker p� en anden side men ikke denne her og koden ser ens ud
for dem begge s� hvorfor kommer fejlen s�?
selve koden ser s�dan her ud, ved ikke om der lige er andre
muligheder for at poste det frem, men den kommer med ovenst�ende
fejl.

<%
' Databaseforbindelse - husk at angive sti til din database
Set Conn = Server.CreateObject("ADODB.Connection")
DSN = "DRIVER={Microsoft Access Driver (*.mdb)}; "
DSN = DSN & "DBQ=" & Server.MapPath("/admin/db/db.mdb")
Conn.Open DSN

' Hent fra databasen afh�ngig af v�rdien id fra URL
strSQL = "Select * From lbwiki2 Where H1 = " &
Request.Querystring("pla")
Set rs = Conn.Execute(strSQL)%>    	

<p>
<%=rs("Iwik")%>
</p>

<%Conn.Close
Set Conn = Nothing
%>

mvh Mads

-- 
Vil du l�re at kode HTML, XHTML, CSS, SSI, ASP eller ASP.NET?
 - P�dagogiske tutorials p� dansk
 - Kom godt i gang med koderne
KLIK HER! => http://www.html.dk/tutorials

Den 31-05-2011 10:52, Mads Brinch skrev:
>
> ' Hent fra databasen afh�ngig af v�rdien id fra URL
> strSQL = "Select * From lbwiki2 Where H1 = "&
> Request.Querystring("pla")

Den s�dvanlige fejl...

Hvad tror du der sker, hvis man kalder
"http://dit.dom/site/lbwiki/lbwikis.asp?pla=-1 UNION Select * from 
admin_users"

Parameterized queries er den s�dvanlige l�sning.


http://xkcd.com/327/

-- 
Bevar P2, luk P3, der er nok P3'er i forvejen.

On 1 Jun., 01:09, Leif Neland <l...@neland.dk> wrote:
> Den 31-05-2011 10:52, Mads Brinch skrev:
>
>
>
> > ' Hent fra databasen afhængig af værdien id fra URL
> > strSQL = "Select * From lbwiki2 Where H1 = "&
> > Request.Querystring("pla")
>
> Den sædvanlige fejl...
>
> Hvad tror du der sker, hvis man kalder
> "http://dit.dom/site/lbwiki/lbwikis.asp?pla=-1UNION Select * from
> admin_users"
>
> Parameterized queries er den sædvanlige løsning.
>
> http://xkcd.com/327/

Så vidt jeg kan se, så er Mads' kode sårbar overfor både SQL-injection
og XSS-attacks. Det er to af de suverænt mest brugte attacks-former.
F.eks.:
http://www.version2.dk/artikel/19325-sony-hacket-igen-n-million-passwords-er-stjaalet

SQL-injection kan undgås med parameterized queries, som Leif skriver.
XSS via brugerdefineret injected HTML kan undgås ved, at man encoder
allle data fra DBen, når det bruges direkte i HTMLen.

Man kan HTMLEncode i ASP, men kun 8859, ikke UTF-8- Så hvis du bruger
UTF-8, må du lave din egen function til det:

Function HTMLEnc ( StringIn)
   HTMLEnc = Replace( Replace( Replace( Replace( StringIn, "<",
"&lt;"), ">", "&gt;"), "&", "&amp;"), chr( 34), "&quot;")
End Function


MVH
Rune Jensen