测试SQL防注入脚本

认证（输入’ or ‘’=’）为：
http://127.0.0.1/admin.asp?action=adminlogin&adminname=%27+or+%27%27%3D%27&adminpwd=%27+or+%27%27%3D%27&Submit=%B5%C7%C2%BC
这里adminname与adminpwd字段都肯定有Fy_Inf中过滤的内容，通过警告提示我们可以确认引擎脚本Neeao_SqlIn.Asp是处于工作状态的，但因为它在：
<%
dim founderr,errmsg
founderr=false
errmsg=""
call admin_nav()
call admin_body()
call adminendpage()
%>
之下，所以饶过认证后的页面还是输出了（Neeao_SqlIn.Asp中警告信息的Respone.End无法局限输出），因此我们必须把<!--#Include File="Neeao_SqlIn.Asp"-->放在它的上面才有效。当然放在lib/admin_body.asp中也是有效的。

最后说说几点需要注意的问题：
1）  默认情况下有没可能通过GOOGLE HACKING找到Neeao_sql_admin.asp页面的地址，暴破登陆管理平台的风险呢？总体上来说风险不大，最多是解除IP锁定与删除日志而已，不会威胁业务连续性。
2）  默认的SqlIn.mdb数据库呢？怕被下载？风险也不大，但有些朋友会把它的缀后改为ASP等动态脚本后缀用于防下载，感觉上这样的风险会更大，因为曾经有人用一句话木马插入这个数据库，从而引发新的风险。
3）  最后是<!--#Include File="Neeao_SqlIn.Asp"-->的放置位置，刚刚在admin.asp解决POST类型的SQL注入中例子就出现过这样的问题，如果您是怕麻烦的人，最好还是像开发者所说的那样，在conn.asp中添加。