Agregátor RSS

mysql injekce

Security-Portal.cz Fórum - 3 Červen, 2013 - 08:31
Je nějaká možnost zneužít tento dotaz?
SELECT datum,nadpis,text FROM aktuality ORDER BY datum DESC LIMIT 'cokoliv,4

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''cokoliv,4' at line 1

Podle Googlu musim pro UNION použít závorky u obou dotazů: (SELECT foo...) UNION (SELECT moo...), což je v tomto případě k ničemu, když nemůžu upravit celý dotaz. Opravdu to nejde jinak?

Ještě jeden SQL dotaz:
SELECT p.subdomena,p.domena,z.unikatni+z.unikatni_dnes unikatni,z.unikatni_dnes,mut.titulek,mut.popisstranky,p.verze FROM `zakaznik_prihlaseni` p JOIN zakaznici_mutace mut ON mut.id_zakaznik_prihlaseni=p.proID AND mut.primarni=1 JOIN statistiky_zobrazeni z ON z.id_zakaznici_mutace=mut.id JOIN zakaznik_nastaveni n ON n.proID=p.proID WHERE n.kategorie = cokoliv AND p.dokonceno=7 AND n.blokace=0 AND p.subdomena != '' ... AND p.subdomena != 'agmo' ORDER BY z.unikatni_dnes DESC,unikatni DESC LIMIT 0,31

Pokud zde zkusím 5 UNION SELECT 1,2,3,4,5,6,7 FROM aktuality -- tak se to zlobí, že to nezná sloupec z.unikatni_dnes in 'order clause', z čehož jsem pochopil, že komentář neplatí pro celý dotaz. Jak to tedy je?

Předem díky za odpovědi

Statistiky : Napsal od nyancut • v pon čer 03, 2013 9:31 am
Kategorie: SP forum
Syndikovat obsah