SQL Injection - dotaz do jine db

HackForum

SQL Injection - dotaz do jine db#
Zdravím, je možné šáhnout pomocí SELECTu do jiné databáze?

neco jako:

SELECT pass FROM druhadb.datausers where nick = admin

----------
Uti, non abuti... - Užít, ne zneužít... | KdoSiOdJinud.cz - [link]
(odpovědět)
kdosiodjinud | Website20.12.2010 8:31
re: SQL Injection - dotaz do jine db#
samozrejme, a pri SQL Injection tak cinis takrka neustale (viz databaze information_schema).
(odpovědět)
Emkei | E-mail | Website | PGP20.12.2010 9:33
re: SQL Injection - dotaz do jine db#
a jak vytahnout jmena databazi? to v information_schema nenajdu, zkousim si to tady:

[link](),version(),4,5,6

----------
Uti, non abuti... - Užít, ne zneužít... | KdoSiOdJinud.cz - [link]
(odpovědět)
kdosiodjinud | Website20.12.2010 14:12
re: SQL Injection - dotaz do jine db#
Proc bys to tam nenasel. V tomhle článku od RubberDucka jistě najdeš všechny odpovědi.
[link]

----------
Teprve když vstáváte s hackingem a uléháte s myšlenkou na něj, máte šanci být hackerem.
(odpovědět)
.cCuMiNn. | E-mail | Website | PGP20.12.2010 14:21
re: SQL Injection - dotaz do jine db#
Není potřeba mého článku. Stačí se podívat do dokumentace na information_schema: [link]

----------
Sec-Cave.cz - [link]
HellSec.cz - [link]
(odpovědět)
RubberDuck | E-mail | Website20.12.2010 16:05
re: SQL Injection - dotaz do jine db#
hraju si s tim, ctu dokumentaci ale porad se nejak nemuzu dostat k datum z [link] , nebyl by priklad? treba i jiny web to je jedno :)

----------
Uti, non abuti... - Užít, ne zneužít... | KdoSiOdJinud.cz - [link]
(odpovědět)
kdosiodjinud | Website20.12.2010 18:04
re: SQL Injection - dotaz do jine db#
Jedna rada: Zkus si to nejdřív na nějakém svém cvičném skriptu, aby jsi viděl, jak celý dotaz vypadá. Zkoušet něco rovnou a bez přípravy může být tvoje sebevražda. Co se týče databáze information_schema: Nemusí být vždy (z bezpečnostních důvodů) přístupná, takže pokud se k ní někdy nedostaneš, budeš vědět, kde je problém :)

----------
Sec-Cave.cz - [link]
HellSec.cz - [link]
(odpovědět)
RubberDuck | E-mail | Website20.12.2010 19:02
re: SQL Injection - dotaz do jine db#
Kdyz uz jsme u toho. Je toto chybove hlaseni znamkou toho, ze je pristup k information_schema zablokovany?

SELECT command denied to user: 'user@mysql.server.cz' for table 'tables'

Jak se tedy v takovem pripade postupuje?

----------
Teprve když vstáváte s hackingem a uléháte s myšlenkou na něj, máte šanci být hackerem.
(odpovědět)
.cCuMiNn. | E-mail | Website | PGP20.12.2010 22:42
re: SQL Injection - dotaz do jine db#
[link]

----------
Teprve když vstáváte s hackingem a uléháte s myšlenkou na něj, máte šanci být hackerem.
(odpovědět)
.cCuMiNn. | E-mail | Website | PGP20.12.2010 18:42
re: SQL Injection - dotaz do jine db#
díky chlapi :-) jdu si hrát

mimotema: narazil jsem z 90% na fake obchod [link] kdyby jste se nudili :-D

----------
Uti, non abuti... - Užít, ne zneužít... | KdoSiOdJinud.cz - [link]
(odpovědět)
kdosiodjinud | Website20.12.2010 19:39

Zpět
 
 
 

 
BBCode