Debería funcionar tal y como lo tienes para la primera palabra, pero no creo que sea la mejor forma.
Cuando metes el request.form("donde") en la sql, asumo que el nombre del campo es el nombre del combo, radio o lo que sea. En ese caso el nombre del campo está a la vista de todos. Este tipo de cosas no son prudentes
Con eso de palabra y palabrab me perdí. No veo porqué incluyes 'palabra' en el fragmento de código si aparentemente ahí no cumple ninguna función.
Bueno, pasando de palabra y palabrab te pongo lo que preguntas:
Código:
dde=request.form("donde")
sql="Select * From mensajes Where "
for i=0 to ubound(palabrab)
if i<>0 then
sql=sql & " AND "
end if
sql=sql & dde & " LIKE '%" & palabrab(i) & "%'"
next
Acuérdate de modificar lo que tienes como nombre de campo en el html del form, o estamos en las mismas.