Foro de elhacker.net

hola, tengo una pagina que tiene php y mysql, y he querido aplicarle una inyeccion sql, pero , en la barra de direcciones no me aparece el id=1, y yo tengo entendido que para realizar una sql inyection, al termino de la direccion de la pagina debe haber un id=1 .

qué código debo poner en mi pagina para que me aparezca al termino de la direccion el id=1?? help me!, salu2.

pd: en la pagina se pueden registrar, y eso lo guardo en la bd, y ya tengo unos cuantos registrados.

No creo que domines aun PHP para investigar sus bugs ya que el transpaso de variables se explican desde el inicio (POST y GET), yo te recomendaria aprender un poco mas sobre PHP y MySQL. Lo que necesitas es un sistema de posteo por GET con imagenes y documentacion guardada en la db, como un sistema de noticias.
Zalu2

Hace poco vi un documento publicado en el blog del compañero Shell Root (http://foro.elhacker.net/profiles/shellroot-u327468.html).

Acá está:
SQL Injection Attacks and Defense (https://docs.google.com/viewer?a=v&pid=explorer&chrome=true&srcid=0B7FJ_rxyScaZNTBhZDY5MmYtNzhlYi00MDc2LWE0NmMtYzkzMjMyMmNkZjkz&hl=es)

Aki mismo esta:

http://foro.elhacker.net/nivel_web/sql_injection_attacks_and_defense_pdf-t342317.0.html


Zalu2 ;D

tienes razon 2Fac3R, aun no lo domino, pero si me he dado buenas leídas de 2 libros que tengo por ahí.

me parece que esto es lo que tengo que hacer: a través del envío del formulario vía get, tengo posibilidad de aplicar un inyeccion, ya que esta pasa por el url.

¿podrían decirme que tan cierto es esto por favor.gracias.salu2.

Asi es amigo, es por via GET (las mas comunes y visibles [por URL]), como te dije investiga un poco, hay bastantes manuales, te recomiendo empieces por el tipico sistema de noticias.
Zalu2

gracias!, pero ahora tengo una duda muy grande, por qué existe el envio de formularios vía GET, o ya es obsoleto??saludos,cuidense.

No es obsoleto, pero es menos usado que POST (segun yo), porque existe? nose, preguntaselo a quienes crearon el PHP... :S.
Zalu2

Pienso que el GET aun es util dependiendo de lo que se vaya a hacer...

alla, si hay alguien que me cae mal  :silbar:, y me dice que le haga una web con BD, en sus formularios le pongo get, y así me desquito :silbar:, jejejee.

o por qué otra razón ( en qué circunstancias ) podría usar get? gracias por su atención.

El uso mas comun del paso de variable por el metodo GET es para crear dinamicamente por ejemplo con php, links del tipo variable=valor. Por ejemplo tienes un script php llamado "index.php" en cual recibe por el metodo GET la variable "action", en ese script dependiendo del valor que contenga la variable "action" se realizara una u otra accion, por ejemplo si el valor es "registro" el script carga una pagina donde un usuario pueda registrarse, si el valor es "home" el script envia al usuario a la pagina principal..etc.

Lo unico que necesitas es crear links de este tipo:
misitio.com/index.php?action=registro
misitio.com/index.php?action=home

ahi esta un uso del metodo GET, como mencione anteriormente estos enlaces pueden ser incrustrados en el .html usando php con una sentencia echo por ejemplo. La virtud de este procedimiento esta en que los distintos valores que puede recibir la variable los puedes recuperar de una base de datos y anexarlos a los links generados, de esta forma se automatiza el procedimiento...imaginate si tienes un menu donde cargas estos links y quieres agregar uno nuevo.

Espero haberte dado una idea de lo que va el asunto, hasta luego.

MUCHAS GRACIAS A TODOS.SALU2.