PDA

Просмотр полной версии : Проблемка с SQL инъекцией... Help


melco
21.02.2006, 17:07
Есть тут один сайтик для пополнения игры timezero.ru деньгами.
Я его хочу поломать и вот надыбал на одну ошибку на нем, но дальше продвинуться не могу
сайт _http://money.tzworld.ru/
Если на _http://money.tzworld.ru/pay/ написать в поиске города \ то вылезет ошибка, но жалко это на перле написанно и дальше как продвинуться не пойму....

Подкиньте идеи или решения плз. :cool:

Evolution
21.02.2006, 17:31
там
Software error: Mysql Execute Error at zbase.pm line 30. For help, please send mail to the webmaster (wwwadmin@tzworld.ru), giving this error message and the time and date of the error.
это не скл, а просто ошибка.
а скл выглядела бы примерно так:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '0')....

melco
21.02.2006, 18:15
Что это значит.... тоесть что с этим можна сделать? :d

ZaCo
21.02.2006, 18:27
2Evolution да ты гонишь
2melco ничего, тк в запросе \ - не фильтруется и мускул ошибка выползает из-за того что слеш экранирует кавычку в запросе типа select lalal from bbb where gorod='Moscow\'
а кавычка сама экранируется тоесть выйти за пределы низя тоесть никуя не выйдет.

melco
21.02.2006, 19:43
Плачу 20 Wmz тому, кто найдет возможность пополнять игровые деньги через этот сайт...