随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根
据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。
SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。但是，SQL注入的手法相当灵活，在注入的时候会碰到很多意外的情况。能不能根据具体情况进行分析，构造巧妙的SQL语句，从而成功获取想要的数据。
据统计，网站用ASP+Access或SQLServer的占70%以上，PHP+MySQ占L20%，其他的不足10%。在本文，以SQL-SERVER＋ASP例说明SQL注入的原理、方法与过程。（PHP注入的文章由NB联盟的另一位朋友zwell撰写的有关文章）
SQL注入攻击的总体思路是：
l 发现SQL注入位置；
l 判断后台数据库类型；
l 确定XP_CMDSHELL可执行情况
l 发现WEB虚拟目录
l ......
随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。 SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。 但是，SQL注入的手法相当灵活，在注入的时候会碰到很多意外的情况。能不能根据具体情况进行分析，构造巧妙的SQL语句，从而成功获取想要的数据，是高手与“菜鸟”的根本区别。 根据国情，国内的网站用ASP+Access或SQLServer的占70%以上，PHP+MySQ占L20%，其他的不足10%。在本文，我们从分入门、进阶至高级讲解一下ASP注入的方法及技巧，PHP注入的文章由NB联盟的另一位朋友zwell撰写，希望对安全工作者和程序员都有用处。了解ASP注入的朋友也请不要跳过入门� ......
使用SQL Server身份验证登录时报错：
无法连接到.\SQLEXPRESS.
Additional information:
用户'sa'登录失败。该用户与可信SQL Server 连接无关联。(microsoft SQL Server,Error:18452）)
------------------
下面是映射时报的错：
创建对于用户“sa”失败。（microsoft.sqlServer.express.smo）
Additional information:
执行Transact_SQL语句或批处理时发生了异常。(microsoft.sqlServer.express.ConnectionInfo)
无法使用特殊群体'sa'.（microsoft SQL Server,Error:15405）
解决办法：
第一步:打开 SQL2005 用管理员登录先,然后在服务名处右击选属性>安全性>右边的登录方式选项改为 身份验证 确定!
第二步:选择安全性(展开)>登录名>双击sa>密码改成你需要的密码 确定!
然后关掉SQL2005 或者 断开连接
第三步:点开始>程序>选择SQL2005>配置工具>打开 configuration manager>展开 SQL Server2005 网络配置
注意:选中MSSQLSERVER 如果没有 选中SQMEXPRESS
>TCP/IP 选项 >先启用 然后右键单击 > 属性 > Ip地址选项卡 > 把已禁用的选项全部改成已启用 > 然后把SQL2005 的服务重新启动� ......
ibatis作为一个轻量级的orm工具现在非常流行，我在使用中发现，有时仅仅希望返回一个类型为map的list就可以了，
比如简单的查询统计之类的，没有必要定义太多的pojo，因此想能不能在ibatis中直接传入sql语句来执行，然后返回map呢？
从网上搜了一下，还真有，实验成功后总结一下，大家共同进步。 其实很简单，就是在配置文件中添加以下的配置，
<!-- 测试Sql -->
<select id="sqlQuery" parameterClass="java.lang.String" resultClass="java.util.HashMap">
<![CDATA[
$sql$
]]>
</select>
使用方法就更简单了，拼好sql语句后，调用
sqlMapper.queryForList("sqlQuery", sql)就得到了查询结果，
当然这个结果为List，并且list中的元素为Map类型，循环List，就得到查询明细。
以上方法对于分类汇总类的查询统计功能尤其实用。如果只是count()的话，就取List的第一个元素就行了。 我们可以把这个方法抽出来写到一个util类中，方法如下
&# ......
以string 类型的Name为例
在SQL 语句里： string sql="Name like'%" + Name.Text + "%';
在存储过程里：
if @Name!=''
begin
set @strWhere= +' and Name like '''+'%'+@Name+'%'+''''
end
存储过程中的引号是单引号.
like '''+'%'中间不用+认不出来。 ......
在做报表时oql语句中有时需要用到用户自定义函数，调用之后报表报错：“ 对数据集“DataQuery”执行查询失败。 'fn_GetLevelItemCatName' 不是可以识别的 函数名称。 ')' 附近有语法错误。 “ ，于是我将oql语句解析后拿sql语句到sql server 2008中去执行报错： 'fn_GetLevelItemCatName' 不是可以识别的函数名称。 这种问题解决方案：找到C:\Program Files\Microsoft SQL Server\MSRS10.MSSQLSERVER\Reporting Services\ReportServer\bin\udf.xml文件添加权限代码 <udf function="fn_GetLevelItemCatName" owner="dbo"/>就OK了 C:\Program Files\Microsoft SQL Server\ MSRS10.MSSQLSERVER\Reporting Services\ReportServer\bin\udf.xml ......
最新文章 :