-2
웹 사이트 데이터베이스에서 대량 데이터를 가져 오려고하지만 성공하지 못했습니다. 누군가가 SQL 주입이 가능하고이 경우 어떻게해야하는지 제안 할 수 있습니까?이 웹 사이트에서 SQL 주입을 수행 할 수 있습니까?
A
답변
3
당신이 제공하는 것과 유사한 웹 사이트에 SQL 주입을하는 방법에는 여러 가지가 있습니다.
where 절에는 ac_no이 필요합니다. 이 값은 브라우저에서 사용자 입력으로 전달된다고 가정합니다. 이 경우 ac_no 값을 or 1 = 1과 함께 전달할 수 있습니다. 예 : where ac_no = 123 or 1 = 1. 테이블 RollPdf1에서 모든 것을 반환합니다.
문자열 비교를 위해 "" = ""을 where 절에 추가 할 수 있습니다.
select 작업을 수행하려는 경우 (다른 테이블 이름을 알고있는 경우)진술을 ;으로 추가 할 수 있습니다.
UNION 연산자는 : 쿼리에서 선택한 컬럼의 데이터 유형을 알고있는 경우
당신은 다른 테이블에서 추가 데이터를 얻을 UNION를 사용할 수 있습니다.
예컨대
original query : select name, age, sex from table1 where id = 1
sql injected query : select name, age, sex from table1 where id = 1 AND 1 = 2 UNION select username, id, password from userstable or someother table.
+0
여러 기록을 원할 때만 한 기록을 줄 수 있으며 응용 프로그램 수준 유효성 검사가 있다고 생각합니다. – RanchiRhino
+0
공유 한 코드에서 하나의 레코드로만 제한하는 응용 프로그램 수준 유효성 검사가 없다고 생각합니다. 거기에 'if'조건이 표시되면 1 개 이상의 레코드가있는 경우 그리드에 표시됩니다. 그렇지 않으면 읽기 전용 필드가 거의 없을 것입니다. – Venky
+0
'ac_no' 값에'OR 1 = 1'을 추가하고 시도해 볼 수 있습니다. 시도한 후에 오류를 게시하십시오. – Venky
악한 의도를 보인다 --->이 선거 프로젝트에 관한 이러한 세부 사항을 노출 안전합니까? 질문에 프로젝트 경로가 있습니까? –
인도 비하르 선거를위한 선거 프로젝트? Lol – Sak
@Sak - 아니요, 선거를 위해 (신청서 이름 확인)! 나는이 질문을 강조 할 것이다. –