Ваши вопросы по уязвимостям.

как узнать сайты на серве, если хттпд конфиги не доступны?

 

reverse-ip\открываешь индексный файл, ищешь нем строку, уникальную на твой взгляд и гуглишь в кавычках

 

угу, да, еще можно заглянуть в скл базу, сайтов больше 20
нужны именно варианты с конфигами

 

Code:

http://www.oistbpl.com/groupinfo.php?show=-1+/*!union+select*/+1,2,3,4,5,6+--+

Why is this showing 500 Internal Server Error?

Haven't seen this before in SQL.

 

крути как слепую

 

может стоить попробывать программой, типа хавиджа

 

Либо неправильный синтаксис (где-нить в скуле не хватает скобок и т.п.) или юзается bind / execute

 

kdiler, выкладывай ссылку.

 

Подскажите, где на странице искать вывод?

и тут

чего ошибку выдаёт вместо вывода?

 

Всем доброго времени суток. Такой вопрос: можно ли загрузить файл на удаленный сервер, в папку у которой права 777 ? К примеру через curl_put , и если можно, покажите пример)

 

qaz, первый еще смотрю. Во втором предполагаю, что нет доступа к information_schema.
Expantano,
Если есть на уд. сервере обработчик.

 

такой вопрос, если в запросе при sql inj фильтруется ,,select,, как бить?

 

Пробуй обойти. /*!select*/, /*!SELeCT*/.

 

а разве можно изменить данные в табле через иньекцию? тогда что мешает изменить хэш админа который не брутится на нужный нам? залей шелл..из шелла подрубись к БД----> профит

 

в MySql так нельзя. В некоторых БД, например Ms Sql можно

 

Через select нельзя обновить инфу в таблице, можно либо через сам update либо через insert в связке с on dublicate key update.

 

ну вообщето мой вопрос был реторическим..я прекрасно знаю чо можно в мелкософтной БД..но здесь речь о мускулебнужны спец условия для апдейта в мускуле

 

qaz
По поводу
"""
http://www.mciti.ru/box.php?id=8+limit+0,0+union+select+1,table_name,3 ,4,5,6,7,8,9,10,11+from+information_schema.tables--+

чего ошибку выдаёт вместо вывода?"""

SELECT command denied to user 'gb_mciti'@'10.0.2.4' for table 'tables'

Доступ запрещен, фильтрации там нет.

 

Извиняюсь вопрос может быть покажется глупым: просканил сайт сканер выдал ошибку:
Возможно подключение к базе данных с помощью учетной записи "blablabla" собственно где эта база и как подключится к ней? Кто ответит пожизненый респект ресурс очень серьёзный))

 

Если там база данных MySQL то TCP порт 3306 (дефолт). Если нет, то включи любой сканнер портов и посмотри где и что. Можешь использовать онлайн версию nmap.