Нужна помощь новичку с SQL Injection

Discussion in 'Безопасность и Анонимность' started by vlad3012, 11 Aug 2012.

  1. vlad3012

    vlad3012 New Member

    Joined:
    22 Sep 2010
    Messages:
    20
    Likes Received:
    0
    Reputations:
    0
    Здравствуте уважаемые форумчане. Хочу задать вопрос:
    Возможно ли с помощью Скули реализовать инсерт в таблицу MySQL (название таблиц, колонок и пр достал)? И если возможно то покажите на реальном примере как, так сказать ткните носом, сам найти не смог, 3 дня ищу информацию по этому поводу,и по всему интернету натыкюсь на одну и ту же статью ДоктораЗеро)
     
  2. ssnn

    ssnn New Member

    Joined:
    13 Jun 2012
    Messages:
    72
    Likes Received:
    2
    Reputations:
    0
    А запросы умеешь писать? А структуру базы представляешь?
    Если запросы писать умеешь, то непонятно в чём проблема. Если не умеешь - учи создание и написание баз данных.
    Просто по твоему вопросу можно книги писать. Отвечая на твой вопрос.
     
  3. vlad3012

    vlad3012 New Member

    Joined:
    22 Sep 2010
    Messages:
    20
    Likes Received:
    0
    Reputations:
    0
    Структуру понимаю, SQL (основы кода) знаю, просто я не могу догнать, как его влепить в SQLI запрос!!
    Например:
    Я подобрал колонки и сделал вывод какой-то инфы на экран:
    http://sample-site.com/news.php?id=99999+UNION+SELECT+1,2,version(),4,5,6+--+
    А как здесь использовать оператор INSERT вместо SELECT?? я перепробовал кучу вариантов, и понял, что мне нужен совет..... Если можно обьясните на этом примере.
     
  4. VY_CMa

    VY_CMa Green member

    Joined:
    6 Jan 2012
    Messages:
    917
    Likes Received:
    492
    Reputations:
    724
    Так запусти локальный сервер, выпей пива, создай и добавь в базу пару таблиц, колонок, записей, выпей водочки, откомпилируй html, напиши на пыхе скрипт для выборки из базы, без фильтрации, выпей коньячка, попробуй заюзать скулю.
     
    _________________________
  5. vlad3012

    vlad3012 New Member

    Joined:
    22 Sep 2010
    Messages:
    20
    Likes Received:
    0
    Reputations:
    0
    Откомпилируй HTML? 0_0
    с твоего скрипта на аватарке понятно о чем речь....
    Интерпретируешь ассемблер?) оригинально))
    Только вот в чем трабл... я уже задолбался пить пивко и пробовать самому) Хотел увидеть ответ специалиста....
     
  6. VY_CMa

    VY_CMa Green member

    Joined:
    6 Jan 2012
    Messages:
    917
    Likes Received:
    492
    Reputations:
    724
    Если коротко, то нет. Из Insert можно сделать подзапрос с select, но обратно никак.
     
    _________________________
  7. ssnn

    ssnn New Member

    Joined:
    13 Jun 2012
    Messages:
    72
    Likes Received:
    2
    Reputations:
    0
    При insert блокируются некоторые системные таблицы. В том числе и по правам доступа. Так, что не факт, что получится.
    Тут можно попробовать создать временную таблицу
    CREATE TABLE #tab
    а потом вставить в неё
    insert into #tab(f1,f2,...) select f1,f2 .. from tbl1 where ..
    и посмотреть что получится.
    А вообще почитай http://wmast.ru/insert-select/ .
     
  8. VY_CMa

    VY_CMa Green member

    Joined:
    6 Jan 2012
    Messages:
    917
    Likes Received:
    492
    Reputations:
    724
    При чем здесь блокировки? Вы сами по ссылке читали?
    Это особенность mysql'я в целях безопасности.
     
    _________________________
  9. vlad3012

    vlad3012 New Member

    Joined:
    22 Sep 2010
    Messages:
    20
    Likes Received:
    0
    Reputations:
    0
    Спасибо за короткий и ясный ответ!) Значит лучше я потратил бы это время на брутфорс хеша)