从别的地方看到的一个防注入函数

这个函数还是比较全面的，先判断字符串，再过滤特殊字符
不过我认为防御最好的办法就是用数字传入再转换类型


function sqlcheck(Str)


  if Instr(LCase(Str),"select ") > 0 or Instr(LCase(Str),"insert ") > 0 or Instr(LCase(Str),"delete ") > 0 or Instr(LCase(Str),"delete from ") > 0 or Instr(LCase(Str),"count(") > 0 or Instr(LCase(Str),"drop table") > 0 or Instr(LCase(Str),"update ") > 0 or Instr(LCase(Str),"truncate ") > 0 or Instr(LCase(Str),"asc(") > 0 or Instr(LCase(Str),"mid(") > 0 or Instr(LCase(Str),"char(") > 0 or Instr(LCase(Str),"xp_cmdshell") > 0 or Instr(LCase(Str),"exec master") > 0 or Instr(LCase(Str),"net localgroup administrators") > 0  or Instr(LCase(Str),"and ") > 0 or Instr(LCase(Str),"net user") > 0 or Instr(LCase(Str),"or ") > 0 then


    Call Qcdn.Err_List("请不要在参数中包含非法字符尝试注入！",1)


    Response.End


    exit function


  end if


  Str=Replace(Str,"_","")     '过滤SQL注入_


  Str=Replace(Str,"*","")     '过滤SQL注入*


  Str=Replace(Str," ","")     '过滤SQL注入空格


  Str=Replace(Str,chr(34),"")   '过滤SQL注入"


  Str=Replace(Str,chr(39),"")'过滤SQL注入'


  Str=Replace(Str,chr(91),"")'过滤SQL注入[


  Str=Replace(Str,chr(93),"")'过滤SQL注入]


  Str=Replace(Str,chr(37),"")'过滤SQL注入%


  Str=Replace(Str,chr(58),"")'过滤SQL注入:


  Str=Replace(Str,chr(59),"")'过滤SQL注入;


  Str=Replace(Str,chr(43),"")'过滤SQL注入+


  Str=Replace(Str,"{","")'过滤SQL注入{


  Str=Replace(Str,"}","")'过滤SQL注入}


  sqlcheck=Str'返回经过上面字符替换后的Str


end function