Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Для программистов и разработчиков » Базы данных
Страницы: 1
RSS
Вопрос по скюль иньекцие, Нужна помошь
 
#1
Это нравится:0Да/0Нет
12.10.2007 12:18:43
Цитата
sql error:
2007-10-12 11:23:41 /home/go.php
1064 syntax error near 'vtvpmc'
ORDER BY I.Step' at line 20

SELECT I.Theme, I.Item, LEFT(I.Item, POSITION('.' IN I.Item)-1) AS Media,
round((Factor * Points - Late)*SubPoints/100, 1) AS Points, S.Status, I.Status as IStatus,
I.MinPoints, NULL,
P.Login, CONCAT(P.LastName, ' ', P.FirstName, ' ', P.FatherName) AS Name,
P.LastName AS FIO,
P.SchoolName As Nr, NOW() < ADDDATE(StatDate, INTERVAL 16 HOUR) AS NowStat
FROM Item I
LEFT JOIN Stat S
ON S.Course = I.Course
AND S.Theme = I.Theme
AND S.Item = I.Item
JOIN Person P
ON P.Login = S.Login
JOIN Login L
ON L.Login = S.Login
WHERE I.Course = 'pascal'
AND LEFT(I.Item, 5) IN ('test.', 'pasca', 'olimp', 'gtest', 'strik')
AND I.Step > 0
AND I.Status = 'next'
AND P.Sector = 'ikt4''
AND L.School = 'vtvpmc'
ORDER BY I.Step
при добавлению " ' " знакак в конец запроса типа id=32' выдает вышенаписаню ошибку..пробувал прописывать то что в статьях чтобы увидеть таблицы +union+select+null,'test',null/* выдает просто тупо ту же ошибку.. незнаю что делать все факюшки перечитал ничего неполучается...
 
 
 
#2
Это нравится:0Да/0Нет
12.10.2007 12:27:11
Цитата
AND P.Sector = 'ikt4''
Символы ' надо экранировать. Для пхп полно библиотек которые предоставляют такую возможность. Напимер, для MySql это делает функция mysql_escape_string...
 
 
 
#3
Это нравится:0Да/0Нет
15.10.2007 14:52:34
Непонял..экранировать..можно по подробней от сюда ? :?:
 
 
 
#4
Это нравится:0Да/0Нет
15.10.2007 14:58:58
Цитата
Непонял..экранировать..можно по подробней от сюда ?
Те символы, которые внутри строк нельзя использовать, должны предварятся каким-нибудь другим специальным символом(зависит от СУБД). Например, строка 'ikt4'' содержит невалидный символ '(апостроф). Правильная запись для СУБД MySQL будет такая: 'ikt4\'', для Firebird 'ikt4''', емнип. Для точного и более подробного описания читай документацию к своей СУБД.
 
 
 
#5
Это нравится:0Да/0Нет
24.10.2007 10:42:27
Цитата
Yagg пишет:

                                                               ЦитатаAND P.Sector = 'ikt4''



Символы ' надо экранировать. Для пхп полно библиотек которые предоставляют такую возможность. Напимер, для MySql это делает функция mysql_escape_string...

Правильно использовать mysql_real_escape_string
 
 
 
Страницы: 1
Читают тему