Тема: SQL - INJECTION
Показать сообщение отдельно

  #182  
Старый 17.06.2012, 01:00
gerrpilligrim
Новичок
Регистрация: 16.06.2012
Сообщений: 4
С нами: 7319126

Репутация: 0
По умолчанию

Подскажите плиз, если в строке поиска ввести кавычку и выводится такое:

SQl highlight

Код:
MySQL Error
!
------------------------
The Error returned was: 
You have an error
in
your
SQL
syntax;
check
the manual that corresponds
to
your 
MySQL server version
for
the
right
syntax
to
use near
'%'
or
dle_photo_post.name
like
'%'
%
' or dle_photo_post.des like '
%
'%'
or
dle_p
' at line 2 

Error Number: 
1064

source:

Код:
____
____
____
____
____
____
____
____
____
____
____
____
____
____
____
____
____
____
____
SELECT dle
_photo_
post.
* FROM dle_photo_post LEFT JOIN dle_photo_alboms
		ON dle_photo_post.albom = dle_photo_alboms.id WHERE (  
dle_photo_post.id like  '%'%' or dle_photo_post.name like  '%'%' or 
dle_photo_post.des like  '%'%' or dle_photo_post.date like  '%'%' or 
dle_photo_post.comms like  '%'%' or dle_photo_post.author like  '%'%' or 
dle_photo_post.albom like  '%'%' or dle_photo_post.file like  '%'%' or 
dle_photo_post.look like  '%'%' or dle_photo_post.tegs like  '%'%' or 
dle_photo_post.rating like  '%'%' ) and (dle_photo_post.show = 0 or 
dle_photo_post.show < 1339927454) and (dle_photo_post.hide = 0 and 
dle_photo_post.moder = 0)ORDER BY dle_photo_post.date DESC
______________________________________________________________________________

Это sql inj? Вроде как фильтрация отсутствует...
Движок DLE < 9.
 
Ответить с цитированием