[SQL][PHP] Ataki SQL Opcje

[Xart]

Witam tak się ostatnio zastanawiam bo mam pewien niby przestarzały, banalny skrypt do logowania w którym nie ma filtrowania danych ale itak wydaje mi się że nie dałoby się zalogować na admina bez hasła (IMG:style_emoticons/default/biggrin.gif)

Wygląda on tak:

[PHP] pobierz, plaintext 
<?
session_start();
include("config.php");
 
$login=$_POST['USRlogin'];
$haslo=$_POST['USRhaslo'];
 
	$wynik = mysql_query("SELECT * FROM users WHERE login='".$login."'") or die("<center>błąd w pytaniu</center>");
	$rekord = mysql_fetch_assoc($wynik);
	if(md5($haslo)==$rekord['haslo']){
		$log=md5("zalogowanyOKzalogowany");
  		session_register('log');
  		$news=$rekord['news'];
		session_register('news');
  		$page=$rekord['page'];
		session_register('page');
		$zmiany=$rekord['zmiany'];
		session_register('zmiany');
  		$user=$rekord['user'];
		session_register('user');
		$galeria=$rekord['galeria'];
		session_register('galeria');
?>
<frameset cols="175px,*">
<frame src="menu.php"/>
<frame src="pusty.html" name='okno'/>
</frameset>
<?	
	}else{
	header("Location: index.php");
	};
?>
[PHP] pobierz, plaintext 

Atak na zmiane zapytania odpada bo nic nie wniesie.
union select nic nie zrobi bo dane nie są nigdzie wyświetlane
zakomentować w kodzie nie ma zbytnio czego bo tylko pobiera użytkownika
wyświetlenia niczego też nie ma jak dokleić...
za hasło nie można podać żadnego kodu bo if(md5($haslo)==$rekord['haslo']) zakoduje go na md5

Ogólnie chyba nic się z tym nie da zrobić... Nie ma żadnego sposobu obejścia. Czyżby to if(md5($haslo)==$rekord['haslo']) było lepszym rozwiązaniem od filtrowania ITP ?
Macie jakieś pomysły na obejście tego mhm ?

[Xart]

@UP
No i myliłeś się zrobiłem test i zgodnie ze strukturą bazy wpisałem zapytanie

i wywala die czyli błąd w pytaniu...

myślę, że w postgreSQL by przeszło ale mysql nie dopuści takiego kodu

[PHP] pobierz, plaintext 
mysql_query("SELECT * FROM users WHERE login='admin'; UPDATE `users` SET `haslo`='test' WHERE login='admin'")
[PHP] pobierz, plaintext 

trzeba by było zakomentować pierwszą część zapytania (IMG:style_emoticons/default/smile.gif)

Ten post edytował Xart 27.04.2014, 10:13:36

[by_ikar]

Kod

admin' AND (UPDATE users SET haslo=md5("nowehaslo") WHERE login="admin") > '0

DIE może wywalać w momencie kiedy nazwa tabeli (uzytkownicy) jest niepoprawna, lub nazwa kolumny (haslo) jest niepoprawna (o czym wcześniej napisałem). Podmień na takie które masz u siebie w bazie danych.

http://forum.php.pl/index.php?showtopic=226103 BTW ty tak na serio?

Ten post edytował by_ikar 27.04.2014, 13:11:40