sessions

<% If Session(\"UserName\") = \"\" Then
Response.Redirect \"Register.asp\"
End If
%>

Du skal selvfølgelig tilpasse redirect
koden placeres i toppen af den side hvor det kræver at man er logget på

Det er altid en MEGET god idé at filtrere \' fra i et input fra en formular.

Altså RELACE(input,\"\'\",\"\")

På denne måde vil ovenstående \"hack\" ikke være muligt.

/Jesper

Søg for at dette ikke slipper igennem din asp side. Problemmet er at du tager en user indtastet værdi og sætter den direkte ind i din sql sætning. Derved kommer syntaksen til at passe.
Du kunne f.eks. sørge for at vildcards ikk ekan komme igennem.
Replace(str, \"%\", \"\") osv.

hvor skal jeg lave den replace??

Jeg har prøvet at sætte den ind i min input og det hjalp!
<input REPLACE(input,\"\'\",\"\") type=\"text\" name=\"login\" value=\"<%= Request.Cookies(\"Login\")(\"Username\")%>

kan du lige forklare det igen gandalfthewhite?? vil godt lige forstå hvad problemet er

PÅ den side hvor du henter informationerne fra formen skal du bruge det..

Eks.

brugernavn = REPLACE(Request.QueryString(\"brugernavn\"),\"\'\",\"\")
brugernavn = REPLACE(brugernavn,\"%\",\"\")

password = REPLACE(Request.QueryString(\"password\"),\"\'\",\"\")
password = REPLACE(password,\"%\",\"\")

/Jesper

hmmm, k..henter fra db her.   
strQ = \"SELECT * FROM Adgangskoder WHERE (Password=\'\" & Request.Form(\"pw\") & \"\')\" & _
                              \" AND (Username=\'\" & Request.Form(\"login\") & \"\');\"

Brug chr(34) istedet for \'.
REPLACE(input, chr(34), \"\") \'ellers er det chr(39)

Hvad med at splitte sql-sætningen op?
Forslag:

\'Funktion der konvertere dine request.form
\'****************************************************
FUNCTION Konverter( String )
    String = Replace( String, \"\'\", \"\" )
    String = Replace( String, \"%\",\"\" )
END FUNCTION

\'Her hentes data fra formen, de sendes til Konverter
\'og de sikrede data lægges i Variabler!
\'****************************************************
strPW = Konverter(Request.Form(\"pw\"))
strLogin = Konverter(Request.Form(\"login\"))

\'Derefter kan du lave din sql-string
\'****************************************************
strQ = \"SELECT * FROM Adgangskoder\" & _
      \" WHERE (Password=\'\" & strPW & \"\')\" & _
            \" AND (Username=\'\" & strLogin & \"\');\"