Error based MySQL injection или не надо ругаться

[DobroFenix]

>>А там было пусто…
Ну так нужно было добавить =)

[sekrasoft]

Найти бэкдор и исправить уязвимость с кавычками.

[zenn]

О безопасности работы с mysql для php в интернете написано статей больше, чем страниц в 4х томах войны и мира… Давно же есть возможность использовать pdo & prepared statement, но почему же авторы уповают на addslashes непонятно.

[FanatPHP]

В этом комментарии содержится несколько заблуждений
1. С подавляющим большинством кодировок addslashes() абсолютно безопасна, если используется по назначению.
2. Сами по себе pdo & prepared statement в случае воображаемой автором атаки — не панацея, и при установках по умолчанию пропустит инъекцию за здорово живешь. Чтобы в кодировках, подверженных данному типу инъекции, атака становилась невозможной, ПДО надо настраивать специально.
3. Дарагая похапешечка, вместе со всеми своими функциями и расширениями, тут как бы вообще не при чем.

[akirsanov]

да судя по всему, там asp старый и пхпшечки там как бэ и нет.

[zenn]

Не хочу спорить, но $stmt->bind(index, $data, \PDO::PARAM_STR); при отключенном EMULATE_PREPARES вполне безопасна.
И да, извиняюсь за PHP, но когда читал пост, мне казалось что автор уверен в том, что это php (хотя я явно видел расширения .asp):

Не работает? Ужас. Попробуем изловчиться и заменим одинарную кавычку ' знаком 0xbf5c27 (¿\’ в ASCII), чтобы пройти через PHP'шную защиту addslashes().

[FanatPHP]

Верно.
Но по умолчанию-то EMULATE_PREPARES включена. И для «знака 0xbf5c27» вышеприведенный код при дефолтных настройках угрозы не представляет.

[KrD]

Я полагаю, что сами разработчики ресурса не смогли наполнить секцию ругательств на этом языке по причине кавычки.

[kuzzmi]

После того, как я сообщил об этой неприятной банальной ошибке веб-администратору, он мне так и сказал, что из-за кавычки они не могли заполнить категорию (:

[akirsanov]

смешались в кучу кони, люди, php, asp, mysql, error 80040e14…

[FanatPHP]

Что-то я не совсем понял про волшебный символ 0xbf5c27
«Волшебный» он только в кодировке GBK. Сайт с ругательствами — китайский?

И почему сайт выдал ошибку на кавычку, если, по мнению автора, addslashes таки исользуется?

Пост больше напоминает «реальные» истории с башорга, при ближайшем рассмотрении оказывающиеся целиком высосанными из пальца. Дополненную, в данном случае, унылой копипастой.

[kuzzmi]

¿\' в данном случае не использовалось, но упомянуть о том, что это можно сделать, я все же решился, если вдруг все-таки addslashes присутствует. Однако этот волшебный символ пригождался мне и не на китайских сайтах.

[FanatPHP]

Очень жаль.
Я надеялся на честный ответ.

[akamajoris]

addslashes насколько я помню не защищает только в некоторых кодировках.
Факи по SQLi уже много лет блуждают по просторам сети, элементарный и подробный разбор: forum.antichat.ru/thread43966.html
Зачем это на хабре?

[FanatPHP]

По ссылке выше написана полная ересь, которую извиняет только доисторическая дата написания.
Сюда это постить не стоило.

[akamajoris]

В чем там ересь?

[FanatPHP]

Я вас умоляю.
Если такие вещи надо объяснять, то это заранее бесполезно.
Предназначение этого текста — вызывать восхищение у детей младшей школы, и с этой задачей он справляется прекрасно. Это всё.
Такого рода опусы все пишутся под одну копирку:
— про поиск уязвимости — ничего
— про защиту — хочется плакать кровавыми слезами
— про эксплуатацию — аффтар щеголяет знанием пары банальных SQL операторов, дотоле неизвестных незадачливому читателю, выдавая их за сакральные хакирские техники (при этом в подавляющем большинстве случаев никогда сам их не применял, а тупо скопипастил у такого-же горе-писаки, и не в состоянии объяснить, как и почему работает или не работает тот или иной запрос)

Для того, чтобы осуществить инъекцию, не нужно быть хакиром и читать макулатурные статьи.
Надо просто знать SQL. Если не знаешь — то набор наизусть выученных «приемчиков» тебе не поможет. А если знаешь — то не понадобится.

[stan_jeremy]

ну что опять за старьё, да еще и самым дурацким способом, когда можно все сделать меньшими и олее простыми запросами?

[vilgeforce]

sqlmap не натравливали?

[FanatPHP]

В общем, эта публикация как бы говорит нам, что получения вожделенных гражданских прав не нужно обладать ни знаниями, ни опытом, ни совестью.
Нужно всего лишь немного наглости и воображения:
1. Найти в интернете копипасту от очередного незнайки с кучей ляпов в стиле «слышал звон, да не знаю где он».
2. Перевести её (снова без малейшего понимания, оставив все ляпы на месте).
3. Нафантазировать пару красивых деталей от себя.
4. На критические замечания отвечать в стиле «божья роса».
5. PROFIT!!!