空格会员的分析和解决办法 提交的表单全是空白

这篇教程的产生是缘于笔者最近遇到网站有人用空格注册会员，意思就是说，该用户的name完全为空格。但是笔者尝试自己使用空格却无论都不能通过（即被程序监测了出来），开头和结尾的空格都被trim函数给去掉了，即使中间有空格，笔者也使用了函数把中间的空格给去掉。笔者又想到数据库里查找，怀疑他使用了其它什么的东西让系统看不到，希望能找到点到蛛丝马迹（笔者曾经使用这种方法看到了带换行符的用户）。但是笔者仍然看到数据库中用户的name也是空格，这难道说该用户使用了一种手段可以绕过我的用户名和密码监测吗？？？

笔者排查了程序，没发现有漏洞。最后只能向这位用户请教，幸运的是这位用户爽快的告诉了笔者，原来是"Alt+255",按住alt键然后依次按下小键盘中"2"，"5"，"5"就会产生一个比较特殊的东西"空格"字符（这个概念笔者也不是比较清楚，这是一种控制字符，在一些编辑器中可以看到word2000，应该还有其他的控制字符），这个空格字符不同于传统的按下空格键产生的字符，它的asc代码是255，而传统的space键入的空格的asc代码是32，trim函数只能认识asc代码为32的代码并去除，所以出现了出现空格用户的情况！针对这种情况笔者设计了下面的两种函数去掉这"空格"字符:

function　xuankong(str)
dim　result
dim　j　 
　　 j=len(str)　 
　　 result=""　 
dim　i　　 
for　i　=　1　to　j　 
　select　case　mid(str,i,1)　 
　　　 case　"<"　 
　　　　　 result=result+"<"　 
　　　 case　">"　 
　　　　　 result=result+">"　 
　　　 case　chr(34)　　　 
　　　　　 result=result+"""　 
　　　 case　"&"　 
　　　　　 result=result+"&"　　'以上代码转换一些html标记　 
　　　 case　chr(255)　'防止特殊空格　 
　　　　　 result=result　 
　　　 case　chr(13)　'防止回车符　 
　　　　　 result=result+""　 
　　　 case　chr(10)　'防止换行符　 
　　　　　 result=result+""　 
　　　 case　else　 
　　　　　 result=result+mid(str,i,1)　 
　end　select　 
next　　 
xuankong=result　 
end　function　 

然后在你的asp程序中使用这个函数,比如：

name=xuankong(trim(request.form("name")))

因为字符0-z　asc代码的数值为　48-122　这一个区段　，所以可以使用如下的方法监测：

dim　j
j=len(trim(request.form("name")))
for　i=　1　to j
if asc(mid(name,i,1))>122　or　asc(mid(name,i,1))<48　then　response.redirect"error.asp?error=special"
next

虽然这种"空格"暂时没有发现会破坏程序的问题，但是却是可以让人捣乱的，还是防了的好,不过这种空格也有一种好处，如果作为你得上网密码的话，嘿嘿…恐怕没有几个人能看到吧！看到的都是以为是space，但实际上确不是。

几种ASCII码：

了解了以上这些原理，解决此类问题就会相当简单，感谢上面那位用户。