 SQLInjection hexadecimal |
  |
| SQLInjection hexadecimal |
Post
#1
|
|
 Grupa: Moderatorzy Postów: 36 557 Pomógł: 6315 Dołączył: 27.12.2004  |
Hej, mamy taki kod:
$sql = 'select * from tabela where name=\'$name\''; mysql_query($sql); $name jest walidowane i przepuszcza tylko litery i cyfry. Czy idzie w takim wypadku zrobic tu sqlinjection? Kiedys trafilem na fajny art z hexadecimal - czyli wstawianie pod $name wartosci szesnastkowych i mysql to lykal, ale nie moge teraz go znaleźć. Czy przy pomocy hexa idzie tu cos wlasnie zrobić? Za bardzo nie mam czasu teraz by sie bardziej wgryźć w google ale potrzebuje takiej informacji. -------------------- "Myśl, myśl, myśl..." - Kubuś Puchatek || "Manual, manual, manual..." - Kubuś Programista "Szukaj, szukaj, szukaj..." - Kubuś Odkrywca || "Debuguj, debuguj, debuguj..." - Kubuś Developer |
 |
 
|
|
Post
#2
|
|
 Grupa: Zarejestrowani Postów: 1 879 Pomógł: 230 Dołączył: 20.03.2005 Skąd: Będzin Ostrzeżenie: (0%) 
|
Ciekawy temat.
na Stacku widziałem coś takiego: http://stackoverflow.com/questions/4600954...a-sql-injection A ciekawy artykuł SQL Injection włącznie z HEXDECIMAL Injection: http://ferruh.mavituna.com/sql-injection-c...HexbasedSamples Ten post edytował Tomplus 12.10.2015, 21:09:44 |
|
|
|
|
Post
#3
|
|
|
Grupa: Moderatorzy Postów: 36 557 Pomógł: 6315 Dołączył: 27.12.2004 |
Z tego co wyczytalem i sprawdzilem przed chwilą organleptycznie, to 0x zadziala tylko gdy bedzie poza apostrofami czyli nie jako wartosc tekstowa. A niestety w przypadku co pokazalem, $name znajduje się w apostrofach, wiec chyba nijak nie idzie z nich wyskoczyc
-------------------- "Myśl, myśl, myśl..." - Kubuś Puchatek || "Manual, manual, manual..." - Kubuś Programista "Szukaj, szukaj, szukaj..." - Kubuś Odkrywca || "Debuguj, debuguj, debuguj..." - Kubuś Developer |
|
|
|
|
Post
#4
|
|
 Grupa: Zarejestrowani Postów: 915 Pomógł: 210 Dołączył: 8.09.2009 Skąd: Tomaszów Lubelski/Wrocław Ostrzeżenie: (0%)
|
W niektórych (rzadkich) przypadkach można pokombinować z "multi-byte characters" http://hakipedia.com/index.php/SQL_Injecti...agic_quotes_gpc
-------------------- |
|
|
|
|
|
Aktualny czas: 22.08.2025 - 04:03 |
