|
Título: SQL Injection. Pido consejo Publicado por: wwidow en 20 Noviembre 2006, 16:25 pm Hola amigos.
Estoy haciendo un test para inyeccion sql en un site y me devuelve los siguientes errores. La verdad es que no se como interpretarlos. Es decir, no se como hace la validación. Os muestro la entradas que pongo en el campo del usuario y las respuestas obtenidas El campo que se manda a la pagina de validación es 'Codigo usuario' En campo Codigo usuario introduzco: ' Respuesta: Microsoft OLE DB Provider for ODBC Drivers error '80040e14' [Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near 'Codigo'. /login.asp, line 55 En campo Codigo usuario introduzco: --' Respuesta: Microsoft OLE DB Provider for ODBC Drivers error '80040e14' [Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near 'Codigo'. /login.asp, line 55 En campo Codigo usuario introduzco: 'or''='1 Respuesta: Microsoft OLE DB Provider for ODBC Drivers error '80040e14' [Microsoft][ODBC SQL Server Driver][SQL Server]Incorrect syntax near the keyword 'or'. /login.asp, line 55 En la siguiente petición meto la comilla simple entre dos dobles. El mensaje devuelto es más complejo En campo Codigo usuario introduzco: "'"or''='1 Respuesta: Microsoft OLE DB Provider for ODBC Drivers error '80040e14' [Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near 'or''='1','','','',0,'Codigo Usuario='. /login.asp, line 55 En campo Codigo usuario introduzco: textoprueba"'"or''='1 Aquí es donde más desconcierta. textoprueba lo pone al final de la sentencia ... mientras que 'or''='1 lo pone al principio Respuesta: Microsoft OLE DB Provider for ODBC Drivers error '80040e14' [Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near 'or''='1','','','',0,'Codigo Usuario=textoprueba'. /login.asp, line 55 Sabría alguien orientarme al respecto. (¿Se está haciendo algo para protegerse de sql injections,..., la consulta de validación es demasiado compleja, ....etc.) Otra consultilla relacionada ... Sólo con que un web site te devuelve los errores de SQL Server ... es factible la inyección SQL.? Muchas gracias |