现在的位置: 网页制作教程网站制作教程 >正文
asp语言高级教程

空格会员的分析和解决办法 提交的表单全是空白

发表于2014/9/3 网站制作教程 0条评论 ⁄ 热度 2,165℃

这篇教程的产生是缘于笔者最近遇到网站有人用空格注册会员,意思就是说,该用户的name完全为空格。但是笔者尝试自己使用空格却无论都不能通过(即被程序监测了出来),开头和结尾的空格都被trim函数给去掉了,即使中间有空格,笔者也使用了函数把中间的空格给去掉。笔者又想到数据库里查找,怀疑他使用了其它什么的东西让系统看不到,希望能找到点到蛛丝马迹(笔者曾经使用这种方法看到了带换行符的用户)。但是笔者仍然看到数据库中用户的name也是空格,这难道说该用户使用了一种手段可以绕过我的用户名和密码监测吗???

我在思考

笔者排查了程序,没发现有漏洞。最后只能向这位用户请教,幸运的是这位用户爽快的告诉了笔者,原来是"Alt+255",按住alt键然后依次按下小键盘中"2","5","5"就会产生一个比较特殊的东西"空格"字符(这个概念笔者也不是比较清楚,这是一种控制字符,在一些编辑器中可以看到word2000,应该还有其他的控制字符),这个空格字符不同于传统的按下空格键产生的字符,它的asc代码是255,而传统的space键入的空格的asc代码是32,trim函数只能认识asc代码为32的代码并去除,所以出现了出现空格用户的情况!针对这种情况笔者设计了下面的两种函数去掉这"空格"字符:

function xuankong(str)
dim result
dim j  
   j=len(str)  
   result=""  
dim i   
for i = 1 to j  
 select case mid(str,i,1)  
    case "<"  
      result=result+"<"  
    case ">"  
      result=result+">"  
    case chr(34)    
      result=result+"""  
    case "&"  
      result=result+"&"  '以上代码转换一些html标记  
    case chr(255) '防止特殊空格  
      result=result  
    case chr(13) '防止回车符  
      result=result+""  
    case chr(10) '防止换行符  
      result=result+""  
    case else  
      result=result+mid(str,i,1)  
 end select  
next   
xuankong=result  
end function  

然后在你的asp程序中使用这个函数,比如:

name=xuankong(trim(request.form("name")))

因为字符0-z asc代码的数值为 48-122 这一个区段 ,所以可以使用如下的方法监测:

dim j
j=len(trim(request.form("name")))
for i= 1 to j
if asc(mid(name,i,1))>122 or asc(mid(name,i,1))<48 then response.redirect"error.asp?error=special"
next

虽然这种"空格"暂时没有发现会破坏程序的问题,但是却是可以让人捣乱的,还是防了的好,不过这种空格也有一种好处,如果作为你得上网密码的话,嘿嘿…恐怕没有几个人能看到吧!看到的都是以为是space,但实际上确不是。

几种ASCII码:

ASCII码 描述
chr(13) 是一个回车
Chr(10) 是个换行符
chr(32) 是一个空格符

了解了以上这些原理,解决此类问题就会相当简单,感谢上面那位用户。

  • 暂无评论