Ваши вопросы по уязвимостям.

УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

НОВЫЕ ТОРГОВАЯ НОВОСТИ ЧАТ

Скрыть

		ANTICHAT > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Уязвимости
Ваши вопросы по уязвимостям.

Страница 597 из 2438

597

Опции темы

Поиск в этой теме

Опции просмотра

#5961

14.03.2009, 10:38

mailbrush

Познавший АНТИЧАТ

Регистрация: 24.06.2008

Сообщений: 1,996

С нами: 9410786

Репутация: 2731

http://www.msm-5.ru/news.phtml?sid=79&nid=57 - стр. 57
http://www.msm-5.ru/news.phtml?sid=79&nid=57/**/ - стр. 57
http://www.msm-5.ru/news.phtml?sid=79&nid=57-2 - стр. 55

Это инъекция, но кол-во не могу подобрать - дошел до 20.

#5962

14.03.2009, 10:41

R1dex

Участник форума

Регистрация: 17.09.2008

Сообщений: 211

С нами: 9288132

Репутация: 571

Цитата:

Сообщение от mailbrush

3-ья ветка

Код:

http://www.msm-5.ru/news.phtml?sid=79&nid=57+and+substring(version(),1,1)=3

#5963

14.03.2009, 10:42

Byrger

Постоянный

Регистрация: 07.03.2008

Сообщений: 479

С нами: 9567480

Репутация: 61

Цитата:

Сообщение от R1dex

Ну да..

Ничего же не происходит? где должен высветится ответ от SQL?

Последний раз редактировалось Byrger; 14.03.2009 в 11:10..

#5964

14.03.2009, 10:43

R1dex

Участник форума

Регистрация: 17.09.2008

Сообщений: 211

С нами: 9288132

Репутация: 571

Цитата:

Сообщение от Byrger

Ничего же не происходит? где должен высветится ответ от SQL?

Это называется блинд инъекция..

Подробнее можно почитать, например, тут .

#5965

14.03.2009, 10:43

mailbrush

Познавший АНТИЧАТ

Регистрация: 24.06.2008

Сообщений: 1,996

С нами: 9410786

Репутация: 2731

Эм.. Крут. А во что енкодятся буквы? (ну типа символ = числу (скажите что за енкодинг))

#5966

14.03.2009, 10:44

Gorev

Познавший АНТИЧАТ

Регистрация: 31.03.2006

Сообщений: 1,167

С нами: 10585560

Репутация: 1550

Отправить сообщение для Gorev с помощью Yahoo

2 Byrger почитай про слепые скули

http://forum.antichat.ru/thread19844-blind+sql.html

2 mailbrush если я правильно тебя понял то это char
http://www.webfuture.ru/igo/convert.php

#5967

14.03.2009, 18:05

S0ulVortex

Участник форума

Регистрация: 18.11.2007

Сообщений: 184

С нами: 9725544

Репутация: 246

You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near ''%' or entities.description like '%1'%') and (entities.keyword
Если переменная не фильтруется и включено сообщение о выводе ошибки. В моём случае возможно ченють вывести? При этом сообщение.

#5968

14.03.2009, 18:52

newpdv

Новичок

Регистрация: 04.09.2008

Сообщений: 10

С нами: 9306734

Репутация: 1

Расскажите как можно добавить несколько одинаковых сайтов?
http://1xx.ru/1x9

#5969

14.03.2009, 19:55

Jokester

Познавший АНТИЧАТ

Регистрация: 18.02.2008

Сообщений: 1,136

С нами: 9593606

Репутация: 4915

S0ulVortex

А как по твоему по ошибке можно сказать о наличии или отсутствие вывода?
Со 100% уверенностью нельзя даже сказать, есть там скуль или нет. Хотя. думаю, что есть и запрос будет примерно такой:
1') order by 1/* но это лишь предположение

KPbIBe[D]Ko

Мне надоело тереть твои посты. Прочти правила форума, раздела, темы, ПМ. Хоть что-нибудь прочитай. Просьбы о взломах, о поиске багов, сюда постить не надо. Здесь разбирают конкретные уязвимости УЖЕ найденные. По которым необходима какая-либо помощь

Последний раз редактировалось jokester; 14.03.2009 в 20:23..

#5970

14.03.2009, 20:09

S0ulVortex

Участник форума

Регистрация: 18.11.2007

Сообщений: 184

С нами: 9725544

Репутация: 246

Цитата:

Сообщение от jokester

Я не уверен, но интуиция подсказывает что такая ошибка на столь значительном проекте это уже просто недочет о котором не заметили и по этому я так уверенно задал вопрос а вдруг прокатит.
А вот что ещё заметил это получается в поиске при добавление кавычки ( ' ) вылетает такое сообщение. Еслиже писать любой текст или ещё че он пишет типа ничего не найдено.
Заметил ещё ошибка меняется если ставить просто ( ' )

Код:

You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near '')' at line 6

А если к примеру поставить такое ( ' -- )
Ошибка такая

Код:

You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near '%' or entities.name like '%--%' or entities.description like '%

А при ( ') order by 1/* )
выводит такую ошибку

Код:

You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near '')%' or entities.description like '%1')%') and (entities.keyword

А если ставить ( ' ' ) то ошибка пропадает

Последний раз редактировалось S0ulVortex; 14.03.2009 в 20:26..

Страница 597 из 2438

597

Предыдущая тема Следующая тема

Похожие темы
Тема	Автор	Раздел	Ответов	Последнее сообщение
Ваши ламерские приколы (Ну когда только комп появился)	PEPSICOLA	Болталка	188	23.05.2010 10:05
Ваши любимые компьютерные игры	PEPSICOLA	Болталка	280	19.08.2009 00:01
Ваши телеги...	F-IFTY	Болталка	13	18.08.2009 18:22
Вопросы по Ipb 2.0	Voodoo_People	Уязвимости CMS / форумов	26	15.02.2005 22:57

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)

Быстрый переход