Sql 这个页面是如何注入的？

我正试图找到黑客/机器人进入我们系统的其他页面，但为了找到这些页面，我需要了解我们知道他们通过的一个页面，以及这是如何发生在我们身上的，我可以在其他页面中查找重复的相同问题

我正在研究这些东西，但这是一场战斗。我有点绝望地希望有人能向我解释它，以及我如何修复它，这样我就可以搜索并应用到更多的页面上

子页面加载（Src作为对象，E作为事件参数）
Dim评估为整数
如果Request.QueryString（“assessment”）“”则
assessment=请求.查询字符串（“assessment”）
其他的
评估=1
如果结束
Dim HTMLxsl as XslTransform=新XslTransform（）
Dim xmlDoc as XMLDocument=新的XMLDocument（）
将HTML设置为字符串
'***加载xsl***
加载（ConfigurationSettings.AppSettings（“webfileroot”）和“\xsl\assesshtml.xsl”）
'***加载xml***
Load（ConfigurationSettings.AppSettings（“webfileroot”）和“\xsl\assessments.xml”）
'创建一个XsltArgumentList。
将xslArg设置为XsltArgumentList=新XsltArgumentList
AddParam（“assessment_id”，“assessment”）
作为StringWriter的Dim编写器=新建StringWriter（）
Transform（xmldoc、xslArg、writer、nothing）
HTML=writer.ToString（）
Response.Write（HTML）
端接头

看起来您接受了来自带有代码的查询字符串的id。Request.QueryString（“assessment”）。确保在以后使用该值之前进行一些验证，否则攻击者可以使用该参数进行XSLT注入。请参阅@AndreaAngella comment，黑客可能将转义html传递到

assessment

查询参数中。