Возможна ли SQL injection в форуме IPB на примере http://forum.vgv.avo.ru?

[LuTan]

Вот форум поидее там возможна SQL injection
http://forum.vgv.avo.ru/index.php?act=Members&max_results=30&filter=1&sort_order=asc&sort_key=name&st=
Запросы не проходят! =(
Подскажите что делать?

[LuTan]

Я не прошу ломать!
Я прошу сказать можно ли там Sql внедрить?
Если у вас параноя по поводу "всех", чточ мне вас жаль!

[Rebz]

Не умничай, а?
Не ты же каждый день на одни и те же вопросы отвечаешь..

Хм.. может и можно внедрить.. но вряд ли.. Если только каким-нить хитрым способом sql-inj замутить.

[KEZ]

Скажите кезу чтобы себя в руках держал. Хехе))
Ты посмотри, при чем тут SQL инъекция? Я пишу так изза смешных вопросов.Сейчас я виду что вопрос не смешной...
ЦИТАТА
LIMIT ,10
вот где error
to use near '10' at line 8 перед ,10 должно быть число, но оно изза
&st= там не появляется... хз но помоему та нышел дырку в IPB ))
Только ORDER BY и UNION использовать вместе нельзя, да и st фильтруется, просто допускается пустая строка. так что сделать ничего не получится кроме как узнать название таблиц

[LuTan]

Спасибо!
Дыру нашел не я, на секлабе выложили, вот я пробую, только везде эта херь!
Вот и решил узнать, может у кого получилось!
А чтоб не отвечать на одни и те же вопросы есть такая вещь которая носит столь сложное и замысловатое название как Faq!!!
Давно надо было написать FAQ!
А не орать почем зря!
P.S. Просто умничать это мой большой талант! =)

[KEZ]

Да не, там ниче не сделаешь... Это чтобы названия таблиц узнать, что тоже может помочь но не сильно

[LuTan]

Спасибо =)

[KEZ]

Пожалуйста. Закрыто.