| כותב |
|
אורח
אורח
הצטרף / הצטרפה: 01 October 2003
משתמש: אונליין
הודעות: 12647
|
| נשלח בתאריך: 02 August 2006 בשעה 14:59 | | IP רשוּם
|
|
|
|
יש לי טופס התחברות כלשהו לאתר, כאשר אני מכניס לטופס ערכים רגילים [שלושה שדות שלושה ערכים]. השגיאה הבאה מוצגת:
קוד:
Erreur de connectionErreur de sélection de baseErreur d'execution SQL :
SELECT username, email, password, subscription_id, active FROM
customers_subscriptions WHERE username='aa' WHERE subscription_id='bb'
|
|
|
השגיאה בעצם נותנת לי מידע עצום.
כשניסיתי להכניס את הערך a' or 'a'='a אז קיבלתי את השגיאה הבאה:
קוד:
Erreur de connectionErreur de sélection de baseErreur d'execution SQL :
SELECT username, email, password, subscription_id, active FROM
customers_subscriptions WHERE username='a\' or \'a\'=\'a' WHERE
subscription_id='a\' or \'a\'=\'a'
|
|
|
אני לא מבין, נראה כאילו הקוד מוסיף סלאש לפני כל גרש שאני מנסה להוסיף, מה משמעות הסלאש, ואיך ניתן לעקוף זאת. מה עוד כדאי לי לנסות?
[[קראתי את המאמר שנמצא פה באתר, ניסיתי משם כמה דברים אבל שום דבר לא עזר]
למישהו יש רעיונות?
|
| חזרה לתחילת העמוד |
|
| |
אורח
אורח
הצטרף / הצטרפה: 01 October 2003
משתמש: אונליין
הודעות: 12647
|
| נשלח בתאריך: 02 August 2006 בשעה 15:00 | | IP רשוּם
|
|
|
|
**עריכה:
אומנם ישנם שלושה שדות, אבל לא חובה להכניס את שלושתם, צריך רק
username
ואז
email or password.
|
| חזרה לתחילת העמוד |
|
| |
shoshan
מנהל האתר
הצטרף / הצטרפה: 16 July 2005
מדינה: Israel
משתמש: מנותק/ת
הודעות: 4637
|
| נשלח בתאריך: 02 August 2006 בשעה 16:15 | | IP רשוּם
|
|
|
|
השאילתה בנוייה באופן מטומטם, ה-where השני גורם לשגיאה...אתה צריך להיפטר ממנו.
הבעיה היא שהם חסמו הכנסת גרש (סלאש מבטל את המשמעות התחבירית שלו), חחח...
(תנסה אולי שדות אחרים למרות שאני בספק..)
במקום המסויים הזה אי אפשר לעשות כלום, תחפש מקום אחר.
סתם לידע כללי, אם הם לא היו חוסמים את הגרש היית מכניס משהו כזה:
או כזה:
קוד:
| a' or 0=1 ; drop customers_subscriptions; -- |
|
|
__________________
עד מתי רשעים יעלוזו?
עַל כֵּן אֶמְאַס וְנִחַמְתִּי עַל עָפָר וָאֵפֶר.
|
| חזרה לתחילת העמוד |
|
| |
אורח
אורח
הצטרף / הצטרפה: 01 October 2003
משתמש: אונליין
הודעות: 12647
|
| נשלח בתאריך: 03 August 2006 בשעה 09:47 | | IP רשוּם
|
|
|
|
חח עכשיו שמתי לב, איאפשר לעשות אם זה כלום, כל דבר שאני אעשה יוביל לשגיאה
הם רשמו שם WHERE במקום AND.
אפילו אם היה לי משתמש חוקי, לא הייתי יכול להתחבר.
|
| חזרה לתחילת העמוד |
|
| |
shoshan
מנהל האתר
הצטרף / הצטרפה: 16 July 2005
מדינה: Israel
משתמש: מנותק/ת
הודעות: 4637
|
| נשלח בתאריך: 03 August 2006 בשעה 10:32 | | IP רשוּם
|
|
|
|
לא נכון, אם היית שם את מה שרשמתי למעלה (ה"קוד" בסוף) היית גורם להתעלמות מה-where השני.
__________________
עד מתי רשעים יעלוזו?
עַל כֵּן אֶמְאַס וְנִחַמְתִּי עַל עָפָר וָאֵפֶר.
|
| חזרה לתחילת העמוד |
|
| |
אורח
אורח
הצטרף / הצטרפה: 01 October 2003
משתמש: אונליין
הודעות: 12647
|
| נשלח בתאריך: 03 August 2006 בשעה 12:56 | | IP רשוּם
|
|
|
|
לא עובד, ועדיין נראה לי שהוא מתייחס ל where השני, כי הוא רושם אותו בשגיאה:
קוד:
Erreur de connectionErreur de sélection de baseErreur d'execution SQL :
SELECT username, email, password, subscription_id, active FROM
customers_subscriptions WHERE username='a\' or 1=1 ; --' WHERE
subscription_id='a\' or 1=1 ; --'
|
|
|
|
| חזרה לתחילת העמוד |
|
| |
shoshan
מנהל האתר
הצטרף / הצטרפה: 16 July 2005
מדינה: Israel
משתמש: מנותק/ת
הודעות: 4637
|
| נשלח בתאריך: 03 August 2006 בשעה 13:26 | | IP רשוּם
|
|
|
|
בן אדם, לא קראת את מה שכתבתי.
אם הוא לא היה גורם להתעלמות מכל גרש שהיית שם אז זה היה עובד.
__________________
עד מתי רשעים יעלוזו?
עַל כֵּן אֶמְאַס וְנִחַמְתִּי עַל עָפָר וָאֵפֶר.
|
| חזרה לתחילת העמוד |
|
| |
אורח
אורח
הצטרף / הצטרפה: 01 October 2003
משתמש: אונליין
הודעות: 12647
|
| נשלח בתאריך: 03 August 2006 בשעה 15:35 | | IP רשוּם
|
|
|
|
צודק, כנראה שלא הקדשתי מספיק תשומת לב לקרוא את ההודעה שלך.
בכל מקרה, יש דרך כלשהי לעקוף את ההגנה הזאת?
|
| חזרה לתחילת העמוד |
|
| |
shoshan
מנהל האתר
הצטרף / הצטרפה: 16 July 2005
מדינה: Israel
משתמש: מנותק/ת
הודעות: 4637
|
| נשלח בתאריך: 03 August 2006 בשעה 15:38 | | IP רשוּם
|
|
|
|
אולי יש סיכוי קלוש אם תוסיף שבירת שורה באמצע (%0D%0A) ??
אני לא כ"כ בטוח שזה בר עקיפה...
__________________
עד מתי רשעים יעלוזו?
עַל כֵּן אֶמְאַס וְנִחַמְתִּי עַל עָפָר וָאֵפֶר.
|
| חזרה לתחילת העמוד |
|
| |
נושאים פעילים
רשימת משתמשים
חיפוש
עזרה
הרשמה
התחברות
UnderWarrior Forums : 
אבטחת מידע
