DNN(DotNetNuke) Sql Injection 攻击

最近有一些DNN网站报告收到Sql Injection攻击

 

因为Sql injection 攻击利用的是网站中动态执行的sql语句比如通过字符串连接生成并直接执行的sql语句，或者通过EXEC或sp_execute执行的存储过程。但DNN主程序避开了这些弱点，只使用带参数的存储过程，所以DNN主程序不会受Sql Injection的影响。

 

但自动的Sql Injection 攻击会导致IIS死机，CPU占用率高的问题。这时你可以通过UrlScan 3.0 来解决问题。

 

其它的一些参考链接：

http://www.dotnetnuke.com/Community/Blogs/tabid/825/EntryID/1930/Default.aspx

http://www.hanselman.com/blog/HackedAndIDidntLikeItURLScanIsStepZero.aspx

http://twitter.com/haacked (See august 8 entries)

http://twitter.com/shanselman?page=3(August 8 entries)

http://twitter.com/scarpenter