网上找的所谓过滤

<%@ LANGUAGE = VBScript CodePage = 936%>
<%
Option Explicit
Response.Buffer = true
dim GQ,Checki,errc
GQ=request.servervariables("HTTP_USER_AGENT")

errc=false
dim nothis(19) 
nothis(0)="net user" 
nothis(1)="xp_cmdshell" 
nothis(2)="/add" 
nothis(3)="exec%20master.dbo.xp_cmdshell" 
nothis(4)="net localgroup administrators" 
nothis(5)="select" 
nothis(6)="count" 
nothis(7)="asc" 
nothis(8)="char" 
nothis(9)="mid" 
nothis(10)="'" 
nothis(11)=":" 
nothis(12)="""" 
nothis(13)="insert" 
nothis(14)="delete" 
nothis(15)="drop" 
nothis(16)="truncate" 
nothis(17)="from" 
nothis(18)="%" 
nothis(19)="declare"
for checki= 0 to ubound(nothis)
  '--------------Get Filter
  if instr(lcase(GQ),nothis(checki))<>0 then
   errc=true
   exit for
  end if

next
if errc then
response.end
end if
Dim Startime
Dim Dvbbs,template
Dim SqlNowString,Conn
'定义数据库类别，1为SQL数据库，0为Access数据库
Const IsSqlDataBase = 1
'论坛缓存名称，如果一个站点有多个论坛请更改成不同名称
Const Forum_CacheName = "aspsky"
'定义运行模式，测试的时候设置1，正常运行的时候设置为0,不输出错误信息有利于安全，
Const IsDeBug = 1
Startime = Timer()
Dim MyBoardOnline
Dim Db
Set Dvbbs = New Cls_Forum
Set MyBoardOnline=new Cls_UserOnlne 
Set template = New cls_templates
If IsSqlDataBase = 1 Then
    SqlNowString = "GetDate()"
Else
    SqlNowString = "Now()"
End If
Sub ConnectionDatabase
    Dim ConnStr
    If IsSqlDataBase = 1 Then
        'sql数据库连接参数：数据库名、用户密码、用户名、连接名（本地用local，外地用IP）
        Dim SqlDatabaseName,SqlPassword,SqlUsername,SqlLocalName
        SqlDatabaseName = "dvbbs7"
        SqlPassword = ""
        SqlUsername = "dvbbs"
        SqlLocalName = "(local)"
        ConnStr = "Provider = Sqloledb; User ID = " & SqlUsername & "; Password = " & SqlPassword & "; Initial Catalog = " & SqlDatabaseName & "; Data Source = " & SqlLocalName & ";"
    Else
        '免费用户第一次使用请修改本处数据库地址并相应修改data目录中数据库名称，如将dvbbs6.mdb修改为dvbbs6.asp
        Db = "data/dvbbs7.mdb"
        ConnStr = "Provider = Microsoft.Jet.OLEDB.4.0;Data Source = " & Server.MapPath(db)
    End If
    On Error Resume Next
    Set conn = Server.CreateObject("ADODB.Connection")
    conn.open ConnStr
    If Err Then
        err.Clear
        Set Conn = Nothing
        Response.Write "数据库连接出错，请检查连接字串。"'注释，需要把这几个字翻译成英文。
        Response.End
    End If
End Sub
%>

原文件是动网SQL版本的conn.asp文件,是用来与sql连接的文件,朋友让我看看,是否做了过滤,一开始没懂,仔细一看,他所做的过滤是对"HTTP_USER_AGENT"接受到的字符进行检测,检测到则报错。
作用不言而喻，在程序出现了sql漏洞的时候，还能做到不让对方进行xp_cmdshell的操作，不过作用真的不是很大，只要在sql服务器上稍微做一下权限控制，或者删除xp_cmdshell的存储过程就可以了，实在有够多余，不过还是可以借鉴一下的。