Response.Write "＜Script Language=JavaScript＞alert('枫网SQL通用防注入系统提示↓\n\n请不要在参数中包含非法字符尝试注入！\n\nHTTP://WwW.WrSkY.CoM 系统版本:V2.0(ASP)完美版');＜Script＞
Response.Write "非法操作！系统做了如下记录↓＜br＞"
Response.Write "操作ＩＰ："&Request.ServerVariables("REMOTE_ADDR")&"＜br＞"
Response.Write "操作时间："&Now&"＜br＞
esponse.Write "操作页面："&Request.ServerVariables("URL")&"＜br＞"
Response.Write "提交方式：ＧＥＴ＜br＞"
Response.Write "提交参数："&Fy_Get&"＜br＞"
Response.Write "提交数据："&Request.QueryString(Fy_Get)
Response.End
End If
Next
Next
End If
'----------------------------------
这段代码的作用是对攻击者的信息及动作记录，以便我们采取必要的应对措施。从代码中可以看出程序分别对攻击者的IP，提交地址，提交内容等进行了记录，但这里明显有几处漏洞：
一、未对频繁的攻击进行处理。也就是说，无论我们怎么提交法数据，都会被程序记录，这样一来，将很可能导致恶意攻击的dos攻击。对此我做了一个试验。我在某个被保护文件的url后提交下列语句：and （select top l asc(mid (username,l,l)) from admin)＞0，在提交过程中用按键精灵来记录，然后自动重复提交。不一会，数据库大小就发生了显著变化（如图1、2）。可以想象，如果用朔雪等工具开多线程提交，dos是绝对不成问题的。
图 1
图 2
