[HaBo]

27.06.07, 20:27

Code:

mysql_query("SELECT irgendwas1,irgendwas2 FROM tabelle WHERE irgendwas=$_GET['sqlinj']");

Injection mittels:

Code:

seite.php?sqlinj=bla UNION SELECT ....

Informier dich einfach mal darüber, was Magic Quotes überhaupt macht und du wirst auch wissen, was zu tuhen ist

IRoot · 27.06.07, 21:03

Zitat:

Original von fetzer

Code:

mysql_query("SELECT irgendwas1,irgendwas2 FROM tabelle WHERE irgendwas=$_GET['sqlinj']");

Injection mittels:

Code:

seite.php?sqlinj=bla UNION SELECT ....

Informier dich einfach mal darüber, was Magic Quotes überhaupt macht und du wirst auch wissen, was zu tuhen ist

Hää, das ist doch das Selbe wie dass, und das funktioniert nicht

Code:

http://x.x.funpic.de/comments.php?comment=news&id=38 UNION SELECT password,benutzername FROM users--

Gruss IRoot

Edit: Hier noch die Phpinfo von Funpic: http://phpinfo.ph.funpic.de/.
Ist Funpic der Spassverderber, oder ICH ?

**Elderan** · 27.06.07, 21:38

Hallo,
äh du

Wie gesagt, 2 hours of try and error can save 10 minutes auf manual reading...

IRoot · 27.06.07, 21:54

Klar, ich weiss Magic Quotes macht einen Slash vor diese zeichen (') (").

Aber, wie müsst ich die Injection machen, um MAGIC Quotes unnnütz zu machen.
Googel hat nichts interessantes dazu ausgespuckt. Sehr wahrscheinlich hab ich nach dem falschen Gegoogelt

Kannst du mir vieleicht einen Guten Tipp geben wie es funktionieren würde?

Funpic hat tatsächlich Magic Quotes ON

Gruss IRoot

Xalon · 27.06.07, 21:56

Das kannst du nicht umgehen

Außer der Querie schaut so aus:

SELECT name FROM user WHERE id=$id

Dann kannst ohne ' ausbrechen

mfg,
Xalon

IRoot · 27.06.07, 22:13

Cool, ich hab die Sicherheitslücke Extra noch in meinen PHP Code eingebaut.
Jetzt Funktionier es, aber wie kann ich mir die Daten von dem UNION SELECT ausgeben lassen? Weil das normale Script verarbeitet die UNION daten logischerweise nicht. :

Gruss IRoot

Xalon · 28.06.07, 14:34

Klar tut es des:

Code:

$id = -1 UNION SELECT pwd FROM users WHERE id=1
SELECT name FROM users WHERE id=$id

mfg,
Xalon

IRoot · 29.06.07, 18:38

Zitat:

Original von Xalon
Klar tut es des:

Code:

$id = -1 UNION SELECT pwd FROM users WHERE id=1
SELECT name FROM users WHERE id=$id

mfg,
Xalon

Funktionier aber nur Bei dieser Webside bei einer Anderen mit anderem Quelltext, werden die Resultate nicht ausgespuckt

Hier die Injection:
?kategorie=-1+UNION+SELECT+user_name+FROM+phpkit_user+WHERE+us er_id=1

Gibt es nicht ein Programm, das Quellcode unabhänig die Daten ausgeben kann?

Gruss IRoot

29.06.07, 21:21

Du verstehst da was falsch: Solch eine Injection funktioniert nicht überall, viele haben sich dagegen geschützt, vor allem "berühmte" Skripte ala PHPKit.
Nebenbei hast du dir weder die Seiten zu UNION (ALL) durchgelesen, noch hast du dich irgendwie damit beschäftigt.

IRoot · 29.06.07, 21:40

Klar, ich weiss aber dass, es auf der Webside Funktioniert. Nur ist das Script nicht dazu gedacht, daten auszugeben. Aber MYSQL Code kann ich ohne probleme einfügen, nur ich bekomm dann meinen SELECT nicht angezeit :

Der Fehler liegt nich an PHPKit, sondern an einer .php Datei die nicht zu PHPKit gehört. Soweit hab ich mich schon informiert.

Ich möchte halt einfach das von meiner SELECT Abfrage auch angezeigt bekommen :

Anzeige

- Anzeige -

27.06.07, 20:27	#16 (permalink)
fetzer Guest Likes:	Anzeige Code: mysql_query("SELECT irgendwas1,irgendwas2 FROM tabelle WHERE irgendwas=$_GET['sqlinj']"); Injection mittels: Code: seite.php?sqlinj=bla UNION SELECT .... Informier dich einfach mal darüber, was Magic Quotes überhaupt macht und du wirst auch wissen, was zu tuhen ist

28.06.07, 14:34	#22 (permalink)
Xalon Registriert seit: 23.05.05 Likes: 0	Klar tut es des: Code: $id = -1 UNION SELECT pwd FROM users WHERE id=1 SELECT name FROM users WHERE id=$id mfg, Xalon

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Ansicht
Linear-Darstellung Zur Hybrid-Darstellung wechseln Zur Baum-Darstellung wechseln

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
UMTS Stick - simlock - oder mach ich was falsch?	nonpretium	Internet Allgemein	1	23.09.09 18:25
Squid schaltet ab, wenn dante startet was mach ich falsch?	Wasserratte	Linux/UNIX	2	25.01.08 23:00
Programmieren anfänger was mach ich falsch?	onix	Code Kitchen	6	15.06.07 13:47
Was mach ich falsch ?	Chrizlybaer	Code Kitchen	5	03.01.06 15:35
Was mach ich Falsch ? Turbo C	Bogus	Code Kitchen	1	10.08.05 23:08

27.06.07, 21:38	#18 (permalink)
Elderan Moderator Registriert seit: 30.03.04 Likes: 14	Hallo, äh du Wie gesagt, 2 hours of try and error can save 10 minutes auf manual reading...

27.06.07, 21:54	#19 (permalink)
IRoot Themenstarter Registriert seit: 26.06.07 Likes: 0	Klar, ich weiss Magic Quotes macht einen Slash vor diese zeichen (') ("). Aber, wie müsst ich die Injection machen, um MAGIC Quotes unnnütz zu machen. Googel hat nichts interessantes dazu ausgespuckt. Sehr wahrscheinlich hab ich nach dem falschen Gegoogelt Kannst du mir vieleicht einen Guten Tipp geben wie es funktionieren würde? Funpic hat tatsächlich Magic Quotes ON Gruss IRoot

27.06.07, 21:56	#20 (permalink)
Xalon Registriert seit: 23.05.05 Likes: 0	Das kannst du nicht umgehen Außer der Querie schaut so aus: SELECT name FROM user WHERE id=$id Dann kannst ohne ' ausbrechen mfg, Xalon

27.06.07, 22:13	#21 (permalink)
IRoot Themenstarter Registriert seit: 26.06.07 Likes: 0	Cool, ich hab die Sicherheitslücke Extra noch in meinen PHP Code eingebaut. Jetzt Funktionier es, aber wie kann ich mir die Daten von dem UNION SELECT ausgeben lassen? Weil das normale Script verarbeitet die UNION daten logischerweise nicht. : Gruss IRoot

29.06.07, 21:21	#24 (permalink)
fetzer Guest Likes:	Du verstehst da was falsch: Solch eine Injection funktioniert nicht überall, viele haben sich dagegen geschützt, vor allem "berühmte" Skripte ala PHPKit. Nebenbei hast du dir weder die Seiten zu UNION (ALL) durchgelesen, noch hast du dich irgendwie damit beschäftigt.

29.06.07, 21:40	#25 (permalink)
IRoot Themenstarter Registriert seit: 26.06.07 Likes: 0	Klar, ich weiss aber dass, es auf der Webside Funktioniert. Nur ist das Script nicht dazu gedacht, daten auszugeben. Aber MYSQL Code kann ich ohne probleme einfügen, nur ich bekomm dann meinen SELECT nicht angezeit : Der Fehler liegt nich an PHPKit, sondern an einer .php Datei die nicht zu PHPKit gehört. Soweit hab ich mich schon informiert. Ich möchte halt einfach das von meiner SELECT Abfrage auch angezeigt bekommen :

[HaBo]

MYSQL Injection, was mach ich falsch.