Старый 18.09.2010, 02:25   #1
Серьезный бизнес.
 
Аватар для Jimi Dini
 
Регистрация: 07.03.2008
Адрес: localhost
Сообщений: 2,254
Вес репутации: 318
Jimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущее
Отправить сообщение для Jimi Dini с помощью ICQ
По умолчанию SQL инъекция - вопрос кул хацкерам

Многоуважаемые знатоки,

Скрипт на сайте не экранирует поступающие запросы GET

например есть такой запрос
"select * from items where id=".$_GET['ID']

как можно этот запрос модифицировать через GET чтобы получить к примеру
"select * from items where id=1 or id=2 order by id DESC"

собственно сайт это довожу до ума, надо показать заказчику чего они могут избежать. Какие есть варианты?
__________________
qwsa.ru - подъем по НЧ и СЧ, ускорение индексации
подписка на список прокси - prxy.ru
aswq.ru - обучение вебмастеров
Jimi Dini вне форума   Ответить с цитированием
Старый 18.09.2010, 02:41   #2
Магистр
 
Аватар для Йода
 
Регистрация: 04.12.2007
Сообщений: 3,679
Вес репутации: 415
Йода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущее
По умолчанию

чиста теоритически както так:
***.php?ID=1 or id=2 order by id DESC
тока пробелы надо шестнадцатиричным видом ввести чтоп урл не побился..

Добавлено через 37 секунд
но там чо, ID совсем не проверяется? хотябы INT от него обычно берут..
__________________
С уважением, Йода

Последний раз редактировалось Йода; 18.09.2010 в 02:41. Причина: Добавлено сообщение
Йода вне форума   Ответить с цитированием
Старый 18.09.2010, 02:43   #3
Серьезный бизнес.
 
Аватар для Jimi Dini
 
Регистрация: 07.03.2008
Адрес: localhost
Сообщений: 2,254
Вес репутации: 318
Jimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущее
Отправить сообщение для Jimi Dini с помощью ICQ
По умолчанию

Цитата:
Сообщение от Йода Посмотреть сообщение
тока пробелы надо шестнадцатиричным видом ввести чтоп урл не побился
вотвот
я чото не смог ни %20 ни + поборот
оно что %20 что + воспринимает буквально

а ведь 100% как-то делают.
__________________
qwsa.ru - подъем по НЧ и СЧ, ускорение индексации
подписка на список прокси - prxy.ru
aswq.ru - обучение вебмастеров
Jimi Dini вне форума   Ответить с цитированием
Старый 18.09.2010, 02:53   #4
Магистр
 
Аватар для Йода
 
Регистрация: 04.12.2007
Сообщений: 3,679
Вес репутации: 415
Йода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущее
По умолчанию

Чото непонятно.. Попробуй для теста другим браузером пихнуть- как в скрипт передается %20 я так понимаю, разруливает браузер, и в инторнетах пишут что они иногда по разному пихают..

А еще я бы кавычки попробовал или еще какую экранировку.. но чото ничо умного в голову неприходит..
__________________
С уважением, Йода
Йода вне форума   Ответить с цитированием
Старый 18.09.2010, 03:34   #5
Серьезный бизнес.
 
Аватар для Jimi Dini
 
Регистрация: 07.03.2008
Адрес: localhost
Сообщений: 2,254
Вес репутации: 318
Jimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущее
Отправить сообщение для Jimi Dini с помощью ICQ
По умолчанию

Магистр, сработало!
Видимо что-то напутал в запросе. Покажу заказчику скуль инъекцию, пусть знают какой йа умный
__________________
qwsa.ru - подъем по НЧ и СЧ, ускорение индексации
подписка на список прокси - prxy.ru
aswq.ru - обучение вебмастеров
Jimi Dini вне форума   Ответить с цитированием
Старый 18.09.2010, 10:11   #6
Магистр
 
Аватар для Йода
 
Регистрация: 04.12.2007
Сообщений: 3,679
Вес репутации: 415
Йода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущее
По умолчанию

Цитата:
Сообщение от Jimi Dini Посмотреть сообщение
Магистр, сработало!
Надо обмыть..
__________________
С уважением, Йода
Йода вне форума   Ответить с цитированием
Старый 18.09.2010, 12:54   #7
Серьезный бизнес.
 
Аватар для Jimi Dini
 
Регистрация: 07.03.2008
Адрес: localhost
Сообщений: 2,254
Вес репутации: 318
Jimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущее
Отправить сообщение для Jimi Dini с помощью ICQ
По умолчанию

Цитата:
Сообщение от Йода Посмотреть сообщение
Надо обмыть
йес!!!
__________________
qwsa.ru - подъем по НЧ и СЧ, ускорение индексации
подписка на список прокси - prxy.ru
aswq.ru - обучение вебмастеров
Jimi Dini вне форума   Ответить с цитированием
Старый 18.09.2010, 14:51   #8
Магистр
 
Аватар для Йода
 
Регистрация: 04.12.2007
Сообщений: 3,679
Вес репутации: 415
Йода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущее
По умолчанию

Цитата:
Сообщение от Jimi Dini Посмотреть сообщение
йес!!!
Ну типа- вот:
сходка форума 1 октября 2010..
__________________
С уважением, Йода
Йода вне форума   Ответить с цитированием
Старый 18.09.2010, 20:34   #9
Серьезный бизнес.
 
Аватар для Jimi Dini
 
Регистрация: 07.03.2008
Адрес: localhost
Сообщений: 2,254
Вес репутации: 318
Jimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущееJimi Dini - прекрасное будущее
Отправить сообщение для Jimi Dini с помощью ICQ
По умолчанию

Цитата:
Сообщение от Йода Посмотреть сообщение
Ну типа- вот:
в прошлый раз подписывался, но не шмог (
хз как щас. постараюсь.
__________________
qwsa.ru - подъем по НЧ и СЧ, ускорение индексации
подписка на список прокси - prxy.ru
aswq.ru - обучение вебмастеров
Jimi Dini вне форума   Ответить с цитированием
Старый 18.09.2010, 22:57   #10
Магистр
 
Аватар для Йода
 
Регистрация: 04.12.2007
Сообщений: 3,679
Вес репутации: 415
Йода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущееЙода - прекрасное будущее
По умолчанию

Цитата:
Сообщение от Jimi Dini Посмотреть сообщение
постараюсь
Сматри.. не обмоешь- перестанет работать..
__________________
С уважением, Йода
Йода вне форума   Ответить с цитированием
Ответ

Опции темы

Ваши права в разделе
Вы не можете создавать новые темы
Вы не можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.

Быстрый переход

Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Когда переведут деньги - вопрос про вопрос? DJ333 Финансовые и юридические вопросы 1 14.10.2009 17:47
Вопрос о программных средствах проверки + вопрос по индексации. Сергеевич Вопросы от новичков 0 07.04.2009 10:05


Часовой пояс GMT +3, время: 13:41.