[MYSQL/PHP]Prosty Sql injection

[MYSQL/PHP]Prosty Sql injection

Crisu Zobacz profil	3.03.2009, 21:56:10 Post #1
Grupa: Zarejestrowani Postów: 59 Pomógł: 0 Dołączył: 11.08.2006 Ostrzeżenie: (0%)	Witam! Musze przygotowac ref z bezpieczenstwa baz danych Chciałem przerobić najproszty przyklad sql injection : [PHP] pobierz, plaintext <?php mysql_connect('localhost', 'root', 'xxx') or die('blad polaczenia z baza'); mysql_select_db('test'); $name = $_POST['name']; $pass = $_POST['pass']; $zap1 ="select id from users WHERE name='$name' and password='$pass'"; echo 'zapytanie: '.$zap1; $query = mysql_query($zap1); var_dump($query); $row = mysql_fetch_array($query); var_dump($row); echo '<br />id zalogowanego to : '.$row['id']; // mysql_close(); ?> [PHP] pobierz, plaintext [HTML] pobierz, plaintext <html> <body> <form action="sqli1.php" method="post"> name: <INPUT TYPE="text" NAME="name" /><br> pass: <INPUT TYPE="text" NAME="pass" /><br> <input type="submit" name="submit" value="login"> </form> </body> </html> [HTML] pobierz, plaintext W bazie sa wpisy (id,name,password) Cytat: 1 admin nimda 2 user user Chcialem na poczatek wykonac zapytanie [SQL] pobierz, plaintext SELECT id FROM users WHERE name='admin' /* and password='' [SQL] pobierz, plaintext czyli w pole name wpisuje admin' /* Ale i tak nie przechodzi... Ktos moze cos doradzic bo siedze nad tym banałem cały dzień... Ten post edytował Crisu 3.03.2009, 21:57:50

Odpowiedzi

Crisu Zobacz profil	4.03.2009, 19:26:06 Post #2
Grupa: Zarejestrowani Postów: 59 Pomógł: 0 Dołączył: 11.08.2006 Ostrzeżenie: (0%)	to jeszcze takie pytanko bo na necie nie widze jednoznaczej odpowiedzi Do mysql_query da sie przekazać więcej niż jedno zapytanie (np wstrzyknąć jakiegos delete/inserta) . Z moich testów wynika, że nie ale może znów zapomniałem o jakieś spacji : )

Posty w temacie

Crisu [MYSQL/PHP]Prosty Sql injection 3.03.2009, 21:56:10

nospor Cytatczyli w pole name wpisuje admin' /* admin... 3.03.2009, 21:58:17

Crisu To zapytanko sie przynajmniej nie wywala... Ale n... 3.03.2009, 22:16:57

nospor zapytanie zwraca wszystkie rekordy. To ty pobieras... 3.03.2009, 22:18:10

Crisu fakt A czemu to moje nie dziala ? Chyba to jest na... 3.03.2009, 22:26:33

nospor do mysql przez mysq_query nie mozna wrzucic koment... 3.03.2009, 22:29:53

Crisu troche zgupiałem w tym momencie prawde mówiac... Z... 3.03.2009, 22:41:35

bełdzio z komentarzami nie ma problemu, sek w tym, ze mus... 3.03.2009, 22:44:58

Crisu trafna uwaga z zamknieciem komentarza - pomogło ... 3.03.2009, 22:53:35

bełdzio Cytat(Crisu @ 3.03.2009, 22:53:35 ) [... 3.03.2009, 23:30:23

Crisu Cytat(bełdzio @ 3.03.2009, 23:30:23 )... 3.03.2009, 23:36:54

nospor dziwne te szczegóły. jak pisałem wczesniej mi tam ... 4.03.2009, 08:00:52

Crisu to jeszcze takie pytanko bo na necie nie widze jed... 4.03.2009, 19:26:06

ostrylg Poczytaj http://www.techonthenet.com/sql/union.ph... 5.03.2009, 00:54:14

2 Użytkowników czyta ten temat (2 Gości i 0 Anonimowych użytkowników)

0 Zarejestrowanych:

Tryb wyświetlania: Przełącz na: Standardowy · Przełącz na: Linearny+ · Drzewo

Aktualny czas: 13.10.2025 - 08:55

Hosting zapewnia