ANTICHAT.XYZ    VIDEO.ANTICHAT.XYZ    НОВЫЕ СООБЩЕНИЯ    ФОРУМ  
Баннер 1   Баннер 2
Antichat снова доступен.
Форум Antichat (Античат) возвращается и снова открыт для пользователей. Здесь обсуждаются безопасность, программирование, технологии и многое другое. Сообщество снова собирается вместе.
Новый адрес: forum.antichat.xyz
Вернуться   Форум АНТИЧАТ > Программирование > PHP, PERL, MySQL, JavaScript
Перезагрузить страницу SQL injection (union)
   
Ответ
 
Опции темы Поиск в этой теме Опции просмотра

SQL injection (union)
  #1  
Старый 03.07.2006, 18:16
Аватар для steamer
steamer
Познающий
Регистрация: 03.05.2006
Сообщений: 82
Провел на форуме:
219818

Репутация: 10
Отправить сообщение для steamer с помощью ICQ
По умолчанию SQL injection (union)
Нашел ошибку в скрипте. Есть две ситуации

1. Запрос: 1 UNION select * from products/*
Ответ:Table 'stan2.products' doesn't exist Query Error!

2. Запрос: 1 UNION select * from shop.products
Ответ: Access denied for user: 'u21219@%' to database 'shop'Query Error!

Т.е. Если я не ошибаюсь, то по умолчанию в первой ситуации он пытается найти таблицу products в базе stan2, но ее там нет. Тогда как определить какие есть, только перебором?

Во втором случае я явно указал другую базу, но с этим логином (u21219@%) вход в нее запрещен. Что здесь можно сделать?
 
Ответить с цитированием

  #2  
Старый 03.07.2006, 18:22
Аватар для bul.666
bul.666
Banned
Регистрация: 06.06.2006
Сообщений: 944
Провел на форуме:
3986705

Репутация: 1403


Отправить сообщение для bul.666 с помощью ICQ
По умолчанию
Цитата:
Сообщение от steamer  
тогда как определить какие есть, только перебором?
Перебирай в ручную...
Цитата:
Сообщение от steamer  
Во втором случае я явно указал другую базу, но с этим логином (u21219@%) вход в нее запрещен. Что здесь можно сделать?
Можно поИскать скрипт, который использует эту базу и попытаться отправить запрос от него ))... Вроде так )))
 
Ответить с цитированием

  #3  
Старый 03.07.2006, 18:34
Аватар для ZaCo
ZaCo
Banned
Регистрация: 20.06.2005
Сообщений: 880
Провел на форуме:
4610226

Репутация: 1332


По умолчанию
2steamer 1) в зависимости от версии мускл сервера и прав. 2) ничего - права не позволяют. насколько я понял тут речь идет о mysql узнай юнион селектом версию version() сервера - если 5, то попробуй воспользоваться information_schema, иначе перебор
ЗЫ посмотри ка u21219 имеет в таблицу mysql.user поле host='%' то есь ты можешь подконнектиться с любого удаленного адреса, в том числе со своего компутера - попробуй пробрутить юзера u21219.
 
Ответить с цитированием

  #4  
Старый 03.07.2006, 18:47
Аватар для steamer
steamer
Познающий
Регистрация: 03.05.2006
Сообщений: 82
Провел на форуме:
219818

Репутация: 10
Отправить сообщение для steamer с помощью ICQ
По умолчанию
2 ZaCo
Попробовал с 1 UNION SELECT version()
Ошибка: The used SELECT statements have a different number of columns Query Error!

Попробовал 1 UNION SELECT * FROM INFORMATION_SCHEMA.TABLES
Ошибка: Access denied for user: 'u21219@%' to database 'INFORMATION_SCHEMA'Query Error!

А что посоветуете, чтоб этими средствами узнать как можно информации о sql и таблицах. Скорее всего это 5 sql
Последний раз редактировалось steamer; 03.07.2006 в 18:57..
 
Ответить с цитированием

  #5  
Старый 03.07.2006, 18:57
Аватар для ZaCo
ZaCo
Banned
Регистрация: 20.06.2005
Сообщений: 880
Провел на форуме:
4610226

Репутация: 1332


По умолчанию
2steamer читай статьи. http://forum.antichat.ru/thread19684.html
читай >>Использование оператора UNION.
 
Ответить с цитированием
Ответ



« Предыдущая тема | Следующая тема »
Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Обнаружение Sql инъекций в Oracle, часть вторая k00p3r Чужие Статьи 0 13.06.2005 11:26
Sql инъекция и Oracle, часть первая k00p3r Чужие Статьи 0 13.06.2005 11:23
SQL Injection для чайников, взлом ASP+MSSQL k00p3r Чужие Статьи 0 12.06.2005 12:42
SQL Injection в Oracle k00p3r Чужие Статьи 0 12.06.2005 12:41



Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
 


Быстрый переход




ANTICHAT.XYZ