1、sql 注入漏洞
对于sql注入漏洞我在这里就不多说了，baidu一下你就知道，但是有几点大家还得注意，那就是为什么，我的站做了防止注入，还是被注入了呢？
其实大家都知道数据WEB传值大多分为两种，一是GET方式Url传值适合一些简短数据传送，二是Post传值我们一般在添加文章或是发表Blog的时候用的都是Post传值，一般Sql注入都是在这两种传值的基础上产生的。
其实还有一种传值那就是Cookies传值，我们在用一些论坛或是文章系统的时候通常都会看到登陆保存时间，下次打开这个网站的时候就会显示以登陆的状态，这就是Cookies传值，其实我们每浏览一次网站都会在本地存在一个Cookies的，
那么我们伪造这些Cookies值就会达到 Cookies 注入了。现在大多站长用的都是通用的Sql防注入程序，这个程序大多只对 Get 和 Post 传值做了过滤没有对Cookies过滤所以导致注入。
在有一种就是对Url进行编码或是改变传值参数的大小写来扰过防注入程序。
总结一下，大家在做好Get、Post、Cookies防注入的同时也要考虑到编码问题。
2、数据安全
数据库安全其实很主要了，现在的数据大多都用Mssql、Access、Mysql，在这里我种点说一说Mssql和Access安全。
Mssql数据库运行是以管理员身份运行的，所以Mssql安全非常主要，网站的安全做的在好，程序写的在好，数据出现漏洞等于什么也没有做，首先每个网站要单独分配一个Sql的用户对应操作的数据库，要把用户的权限给到最小，通信端口1433不可以外部连接，加固SA的密码，打好所有的朴丁文件，还要删除所有有危害的扩展，具体的方法可以登陆长春黑客网查询。
Access数据库相对来说安全一些，大家讨论都是防止Access数据库的下载，我认为这个非常没有必要，想一下，黑客下载数据的目的是什么？那就是破解密码，有很多朋友数据库命名的时候加了很多特殊的字符，其实这样是没有用的比如说#db.mdb那么把#换成%23db.mdb就可以下载了，说白了也就是转换一下编码，在就是用火狐去下载有特殊字符串的数据库，很有效的哟呵呵，要想不让黑客通过Url下载最好的就是在IIS上把.mdb解析到一个不可执行的文件上就OK了。如果数据没有很重要的资料那么可以把数据里密码用Sha1或是Sha1二次加密方式来加密你的密码，加密方式都是不可逆的，如果你用Md5加密我建议你的密码最好是汉字，用汉字现在Md5破解网站是很难破解的。
注：upload/200911270853395775.jpg这样的文件也是可以执行asp脚本的，这个漏洞一出有N多网站被挂了。防范措施现在只能是在写程序的时候做过滤，方法很多，在这里就不说了，还有就是在IIS里面把不用执行脚本的目录去掉执行权限，这样做还是很安全的。
