ANTICHAT.XYZ    VIDEO.ANTICHAT.XYZ    НОВЫЕ СООБЩЕНИЯ    ФОРУМ  
Баннер 1   Баннер 2
Antichat снова доступен.
Форум Antichat (Античат) возвращается и снова открыт для пользователей. Здесь обсуждаются безопасность, программирование, технологии и многое другое. Сообщество снова собирается вместе.
Новый адрес: forum.antichat.xyz
Вернуться   Форум АНТИЧАТ > Безопасность и Уязвимости > Уязвимости
   
Ответ
 
Опции темы Поиск в этой теме Опции просмотра

Sql inj фильтрация
  #1  
Старый 10.01.2010, 06:17
Аватар для RazyKK
RazyKK
Познающий
Регистрация: 09.02.2009
Сообщений: 70
Провел на форуме:
393885

Репутация: 34
По умолчанию Sql inj фильтрация

вобщем нашел sql inj с помошью union select вытащил user version итд но когда вытаюсь достать названия из information shema то получаю forbidden.
как можно обойть фильтрацию?
 
Ответить с цитированием

  #2  
Старый 10.01.2010, 06:18
Аватар для Spyder
Spyder
Members of Antichat - Level 5
Регистрация: 09.10.2006
Сообщений: 1,698
Провел на форуме:
9098076

Репутация: 4303


По умолчанию

url encode, отправлять запрос методом POST и тд
Определи точно на какие последовательности символов ругается сервер
 
Ответить с цитированием

  #3  
Старый 10.01.2010, 06:30
Аватар для RazyKK
RazyKK
Познающий
Регистрация: 09.02.2009
Сообщений: 70
Провел на форуме:
393885

Репутация: 34
По умолчанию

начинает ругаться на information_shema.tables и post и get уже пробовал

как можн information_shema.tables заменить?

Последний раз редактировалось RazyKK; 10.01.2010 в 06:35..
 
Ответить с цитированием

  #4  
Старый 10.01.2010, 06:50
Аватар для RazyKK
RazyKK
Познающий
Регистрация: 09.02.2009
Сообщений: 70
Провел на форуме:
393885

Репутация: 34
По умолчанию

и еще проблема бывает с помощью order by нахожу кол-во columns но при union select выдает ошибку что неверное кол-во,можн в этом случаи что нить сделать?

чтот я не в ту тему немного запостил хотел в уязвимости

Последний раз редактировалось RazyKK; 10.01.2010 в 06:52..
 
Ответить с цитированием

  #5  
Старый 10.01.2010, 07:25
Аватар для Spyder
Spyder
Members of Antichat - Level 5
Регистрация: 09.10.2006
Сообщений: 1,698
Провел на форуме:
9098076

Репутация: 4303


По умолчанию

information_shema.tables => %69%6E%66%6F%72%6D%61%74%69%6F%6E%5F%73%68%65%6D%6 1%2E%74%61%62%6C%65%73

Пробелы только убери
Цитата:
и еще проблема бывает с помощью order by нахожу кол-во columns но при union select выдает ошибку что неверное кол-во,можн в этом случаи что нить сделать?
Скорее всего переменная используется в двух запросах сразу. Пробуй крутить как слепую
 
Ответить с цитированием

  #6  
Старый 10.01.2010, 07:44
Аватар для RazyKK
RazyKK
Познающий
Регистрация: 09.02.2009
Сообщений: 70
Провел на форуме:
393885

Репутация: 34
По умолчанию

Spyder в виде hex вроде пропускает но названия баз N/A

upd
не в hex тоже фильтрует ты там букву c пропустил в sChema

Последний раз редактировалось RazyKK; 10.01.2010 в 07:52..
 
Ответить с цитированием

  #7  
Старый 10.01.2010, 07:56
Аватар для shell_c0de
shell_c0de
Reservists Of Antichat - Level 6
Регистрация: 07.07.2009
Сообщений: 324
Провел на форуме:
1585404

Репутация: 564
Отправить сообщение для shell_c0de с помощью ICQ Отправить сообщение для shell_c0de с помощью AIM
По умолчанию

Гадать трудно спали в ПМ линк попробуем варианты сразу...
 
Ответить с цитированием

  #8  
Старый 10.01.2010, 22:12
Аватар для shell_c0de
shell_c0de
Reservists Of Antichat - Level 6
Регистрация: 07.07.2009
Сообщений: 324
Провел на форуме:
1585404

Репутация: 564
Отправить сообщение для shell_c0de с помощью ICQ Отправить сообщение для shell_c0de с помощью AIM
По умолчанию

Скинул тебе в ПМ полный дамп БД и решение.
 
Ответить с цитированием
Ответ



Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Обнаружение Sql инъекций в Oracle, часть первая k00p3r Чужие Статьи 1 12.07.2005 08:51
Обнаружение Sql инъекций в Oracle, часть вторая k00p3r Чужие Статьи 0 13.06.2005 11:26
Sql инъекция и Oracle, часть первая k00p3r Чужие Статьи 0 13.06.2005 11:23
Внедрение Sql кода с завязанными глазами k00p3r Чужие Статьи 0 12.06.2005 20:48
SQL Injection в Oracle k00p3r Чужие Статьи 0 12.06.2005 12:41



Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
 


Быстрый переход




ANTICHAT.XYZ