أعتقد أن حقن قواعد البيانات ممكن حتى مع الـــــ HTML ، ففي دورة الأخ فولكانو قام بتجربة الحقن على موقع فيه هذه الميزة و كان الحقن ناجحا
و قد قمت بحقن الموقع و حاولت تخطي الحماية فوصلت إلى نتيجة مبهمة
عندما نحقنه بهذه الصورة
order by 10
أو
order by 100
لا يتغر شكل الصفحة ولا تظهر رسالة الخطأ حتى و إن كان عدد الأعمدة التي نضعها يفوق الألف
و لكن عندما حقنته بهذا الشكل
cPatch=1' order by 10+--+ like this
ظهرت لي رسالة تخبرني بأن العمود رقم عشرة غير موجود
و حينما وصت إلى العدد أربعة تغيرت الرسالة و ظهر خطأ آخر ، فأعتقد أن عدد الأعمدة هو أربعة
12-05-2011, 08:50 PM
problem in vulnrable column number
العرض العادي
