almeno sostituisci questo
codice:
sql = "insert into clicks (url,ip) values('"& url &"','"& ip &"')"
con questo
codice:
sql = "insert into clicks (url,ip) values('"& replace(url,"'","''") &"','"& replace(ip,"'","''") &"')"
anche se è brutto lo stesso:
è vulnerabile a xss, usa un recordset x fare una insert, nell'altra pagina prende il nome della query da un request.form, ...
Il problema + grave l'ho rimediato sopra,
ma non voglio scriverti tutto il codice, cercane casomai un'altro,
ed è un problema di "sql injenction",
il che significa che chiunque, modificando ad hoc la url
può eliminare, modificare, ecc. i dati e le tabelle del tuo db
Anche se non protegge al 100%, quando fai le query sul db tramite ASP
sostituisci sempre (a meno che non usi una stored procedure o il metodo update dell'oggetto recordset) gli apici con i doppi apici
Dovrebbe essere l'abc della programmazione, e invece pure qui trovo spesso codici privi di quella banale protezione
Permessi di invio
Rispondi quotando