#1 14. September 2006 Ich probiere hier schon ein bisschen ne sql injection einzusetzen, aber irgendwie will das nicht so richtig... PHP: <? php include( "./alform.php" ); echo "<br>" ;if( $fal != "" ){ $abfrage = "SELECT * FROM ual WHERE kurl = ' $fal '" ;}else{ $abfrage = "SELECT * FROM ual ORDER BY k" ;} $ergebnis = mysql_query ( $abfrage );if(! $ergebnis ){die( "ERROR: ual, couldn't read the database." );} ?> die variable aus der alform.php wird per post-action übergeben. übergebe ich Code: bla';UPDATE bla SET blub = 'admin' WHERE uid = '424'; -- funktioniert es nicht. denkfehler, oder geht es einfach nicht? ?( + Multi-Zitat Zitieren
#2 14. September 2006 AW: sql injection möglich? Soweit ich weiß geht es da nicht :/ aber andere Frage Bist du nicht von DTO? o.0 + Multi-Zitat Zitieren
#3 14. September 2006 AW: sql injection möglich? Versuch mal ' OR ''=' Gruß Hamml + Multi-Zitat Zitieren
#4 14. September 2006 AW: sql injection möglich? jop. Danke, aber wo soll ich das dranhängen bzw. einsetzen? + Multi-Zitat Zitieren
#5 15. September 2006 AW: sql injection möglich? hmm also allgemein muss ich sagen dass ich durch sieses script nicht so richtig durchblicke X| wo ist denn da vorne und hinten? gibt es vlt auch noch ein paar andere zeilen die zu dem script gehören? ich dachte das thema ist SQL-injection also geht es doch darum estwas aus einer SQL-datenbank auszulesen. was denn nun? greez myth + Multi-Zitat Zitieren
#6 15. September 2006 AW: sql injection möglich? klar geht es darum, was aus einer datenbank auszulesen wo is dein problem mit dem or ? :] + Multi-Zitat Zitieren
#7 15. September 2006 AW: sql injection möglich? in dem code geht es darum etwas aus einer datenbank auszulesen aber nich im injection-string auf den es ankommt. mit dem OR könnte man eine sehr einfache passwrtabfrage umgehen zb aber die sql-injection wird zb in vielen expoits verwendet. mit den strings kann man dann die userdaten oä auslesen und nicht irgendwelche passwörter umgehen. korrigiert mich wenn ich falsch liege aber ich bin mir in diesem punkt sehr sicher greez myth + Multi-Zitat Zitieren
#8 15. September 2006 AW: sql injection möglich? Wenn ich es richtig verstehe, möchtest du in der Zeile eine SQL-Injection durchführen, und zwar unter der Benutzung der Variable $fal, an die du einen weiteren Befehl anhängst. Die Funktion mysql_query bearbeitet jedoch nur ein SQL-Statement. Bei dir sind es SELECT und UPDATE, also zwei. Ein Weg, wie es trotzdem funktionieren kann (vorausgesetzt magic_quotes_gpc in der php.ini ist deaktiviert), könnte UNION sein. Also statt Code: bla';UPDATE bla SET blub = 'admin' WHERE uid = '424'; -- könnte folgendes funktionieren: Code: bla' UNION UPDATE bla SET blub = 'admin' WHERE uid = '424'; -- + Multi-Zitat Zitieren
#9 16. September 2006 AW: sql injection möglich? Das mit UNION funktioniert leider nicht. Gibts vielleicht noch andere Möglichkeiten? :] Aber trotzdem Danke an euch alle, habt alle REPs bekommen. + Multi-Zitat Zitieren