Asp Günvenlik sql injection

 
  En çok tehlikeye neden olan güvenlik sorununu, SQL Injection'ı aşağıda vermiş olduğum kodlar yardımıyla çok basit bir şekilde çözebilirsiniz. 
   
  örnek olarak anasayfa.asp adlı bir sayfanızın olduğunu düşünelim. Anasayfa.asp sayfasının içinden icerik.asp?id=1 şeklinde bir link olsun. Eğer siz aşağıdaki kodu icerik.asp 'deki request.querystring kısmına koymazsanız kötü niyetli kişiler ( ' ) karakteri ile SQL cümlenizi müdahale edebilir ve istedikleri yönde sorgulama yapabilirler. 
   
  Eğer sayfa içinde id değişkenine değer alırken id = request.querystring("id") şeklinde bir kod kullanıyorsanız bu kodu aşağıda verdiğim şekilde değiştirin; 
   
    ID = REQUEST.QUERYSTRING("ID") 
    IF Not IsNumeric(REQUEST.QUERYSTRING("ID")) THEN 
    response.write "Lütfen Geçerli bir ID numarası girin." 
    response.end 
    END IF 
  ya da id = request.querysring("id") için uygulanan ( ' ) , ( < ) , ( > ) gibi zararlı karakterleri koruyup güvenli bir sistem de yapabilirisiniz (bu yöntem daha güvenlidir). Aşağıda verdiğim kodları sayfanın en başına ekleyin ve uyari.asp diye kişiye bir uyarı mesajı veren sayfa oluşturun. 
   
    function veri_temizle(veri) 
    veri = Replace (veri ,"'","[engelle]",1,-1,1) 
    veri = Replace (veri ,"=","[engelle]",1,-1,1) 
    veri = Replace (veri ,"&","[engelle]",1,-1,1) 
    veri = Replace (veri ,"%","[engelle]",1,-1,1) 
    veri = Replace (veri ,"!","[engelle]",1,-1,1) 
    veri = Replace (veri ,"#","[engelle]",1,-1,1) 
    veri = Replace (veri ,"<","[engelle]",1,-1,1) 
    veri = Replace (veri ,">","[engelle]",1,-1,1) 
    veri = Replace (veri ,"*","[engelle]",1,-1,1) 
    veri = Replace (veri ,"/","[engelle]",1,-1,1) 
    veri = Replace (veri ,"\","[engelle]",1,-1,1) 
    veri = Replace (veri ,"And","[engelle]",1,-1,1) 
    veri = Replace (veri ,"'","[engelle]",1,-1,1) 
    veri = Replace (veri ,"Chr(34)","[engelle]",1,-1,1) 
    veri = Replace (veri ,"Chr(39)","[engelle]",1,-1,1) 
    IF InStr(1,veri,"[engelle]",1) Then 
    Response.Redirect "uyari.asp" 
    End IF 
    veri_temizle = veri 
    end function 
  Artık yeni kullanım id = request.querystring("id") değil, bunun yerine aşağıda verdiğim şekilde olmalıdır; id = veri_temizle(request.querysring("id")) 
   
  Artık eğer birisi sql injection saldırısı girişiminde bulunursa, veri_temizle fonksiyonu bunu temizleyecek ve [engelle] değerini okuyacak. Eğer [engelle] değerini okuduysa da sistem otamatik olarak uyari.asp sayfasına yönlenecek. 
   
  Son olarak eklemek isterim ki, sql injection konusunda iyi bilgiye sahip saldırgan için bu fonksiyonda tam anlamıyla yeterli olmayacaktır. SQL Injection dan korunmak için en güzel yöntem black list yani engelleme yerine white list dediğimiz sadece izin verilen değerlere geçiş vermektir. White list daha gelişmiş bir filtreleme uygulayarak sql injection'a karşı tam anlamıyla koruma sağlamak için ilk adım olacaktır. Konuyla ilgili olarak daha detaylı bilgileri bir sonraki yazıda vermeyi düşünüyorum. Konuyla ilgili her türlü soru ve fikirinizi lütfen belirtmekten çekinmeyin.