[Guide]Auflistung der SQL Injections

Nice.^^

Auf Inposterum Workt es nicht. Auf Fame auch net. Offi garantiert net xD
Auf welchen workt es denn? :D

Hast ein THX ^-^

LG & Guten Rutsch
MeMyselfAndI

Auf denen die in ihren Inputs Sonderzeichen erlauben.

Wie soll das funzen?
Weil, hat dann der PC Adminrechte oder wie meinst du das,''Deinen Charakter''

USE [CHARACTER_01_DBF]

UPDATE CHARACTER_TBL SET m_chAuthority='Z'
WHERE m_szName='[COLOR="Red"]ACCOUNTID[/COLOR]' and serverindex='01'

USE [ACCOUNT_DBF]

UPDATE ACCOUNT_TBL_DETAIL SET m_chLoginAuthority='Z'
WHERE account='[COLOR="Red"]CHARACTERNAME[/COLOR]' and gamecode='A000'

AccounID: Da gibst du deine ID ein , womit du dich ins Spiel einlogst.
Charaktername: Der Name vom Charakter der die Rechte erhalten soll

Dann hat dein Flyff Charakter die Adminrechte

[COLOR="DarkOrange"]Dumme frager aber mit Early Guard würde das auch gehen oder? xD[/COLOR]

Zitat von Foldercarp;69153

[COLOR="DarkOrange"]Dumme frager aber mit Early Guard würde das auch gehen oder? xD[/COLOR]

ErlyGuard überwacht Packets auf bestimmten Ports aber nicht die Verbindung zwischen SQL und HTTP o.ô

Vielen dank tolle Leistung :meta knight:

Man man Man, da hier einige das Prinzip von SQL Injections nicht verstehen.
Hier mal ein Beispiel eines auszuführenden SQL Statements:

Zitat

SELECT * FROM `accounts` WHERE `username` = '".$_POST['username']."'

$_POST['username'] ist das was wir in das Textfeld eingegeben und abgeschickt haben.
Schreiben wir also 'Felix' in das Textfeld so heißt unser SQL Statement

Zitat

SELECT * FROM `accounts` WHERE `username` = 'Felix'

Aber da wir ganz böse Buben sind (und solche coolen "Hacker" wie akira Udo einer ist)
schreiben wir natürlich nicht unseren Accountnamen
rein sondern versuchen schön den Server putt zu machen. Also wie geht das? Ganz einfach
der Coder im ersten Beispiel (das bin ich :D) hat natürlich keine Ahnung von der Materie
und denkt sich "WTF?!! TAGS MASKIEREN? WASN DAT?" Also schreiben wir in
unser Textfeld einfach "ich bin ein böser hacker' DELETE `accounts`--;"
Nun heißt unser SQL Statement so:

Zitat

SELECT * FROM `accounts` WHERE `username` = 'ich bin ein böser hacker' DELETE `accounts`--;'

Was passiert nun? Anstatt das das Script locker fluffig die Daten des ausgewählten
accounts liest löscht es das account table. Und nein die beiden Minuszeichen (--) sind
kein "voll str3ng geheimer h4cking c0de" sondern sind ein Kommentar in SQL und
bewirken was alles was nach unserem DELETE Statement steht igoniert wird.

[FONT="Trebuchet MS"][COLOR="LemonChiffon"][SIZE="2"]Lest euch das durch und schau euch die Struktur der Offi DB an, dann wisst ihr bescheid : Sql lernen - ein Tutorial zum Selbststudium mit einer Beispiel-Datenbank
Hatte da auch mal eine Tutorial in Englisch, welches besser erklärt war, finde das aber gerade nicht.[/SIZE][/COLOR][/FONT]

Zitat von MeMyselfAndI;69139

Nice.^^

Auf Inposterum Workt es nicht. Auf Fame auch net. Offi garantiert net xD
Auf welchen workt es denn? :D

Hast ein THX ^-^

LG & Guten Rutsch
MeMyselfAndI

Soweit ich weiß hat DD in frühen Zeiten tatsächlich offi FlyFF durch ne Injection drangekriegt... ;)
(Kann mich aber auch irren... die Gerüchteküche ist nicht zu unterschätzen.)

Nice. Hast nen thanks.
Aber wieso funksen die nicht bei Fame?

Zitat von escaPe;69706

Nice. Hast nen thanks.
Aber wieso funksen die nicht bei Fame?

Weil die keine Sonderzeichen beim Registrieren erlauben

Zitat von escaPe;69706

Nice. Hast nen thanks.
Aber wieso funksen die nicht bei Fame?

Jz hab ichs schon lang und breit erklärt und du kapiersts immernoch nicht. Bei manchen
ist echt Hopfen und Malz verloren :%

Zitat

Soweit ich weiß hat DD in frühen Zeiten tatsächlich offi FlyFF durch ne Injection drangekriegt... ;)
(Kann mich aber auch irren... die Gerüchteküche ist nicht zu unterschätzen.)

Normal würd ich darüber lachen und sagen das kein Team aus professionellen Entwicklern so
dämlich ist auf Injections nicht achtzugeben. Aber was ich schon alles bei Flyff erlebt hab glaub ich
dir das sogar.

[FONT="Tahoma"][COLOR="DarkOrange"][SIZE="2"]

Zitat von h4te;69214

Man man Man, da hier einige das Prinzip von SQL Injections nicht verstehen.
Hier mal ein Beispiel eines auszuführenden SQL Statements:

$_POST['username'] ist das was wir in das Textfeld eingegeben und abgeschickt haben.
Schreiben wir also 'Felix' in das Textfeld so heißt unser SQL Statement

Aber da wir ganz böse Buben sind (und solche coolen "Hacker" wie akira Udo einer ist)
schreiben wir natürlich nicht unseren Accountnamen
rein sondern versuchen schön den Server putt zu machen. Also wie geht das? Ganz einfach
der Coder im ersten Beispiel (das bin ich :D) hat natürlich keine Ahnung von der Materie
und denkt sich "WTF?!! TAGS MASKIEREN? WASN DAT?" Also schreiben wir in
unser Textfeld einfach "ich bin ein böser hacker' DELETE `accounts`--;"
Nun heißt unser SQL Statement so:

Was passiert nun? Anstatt das das Script locker fluffig die Daten des ausgewählten
accounts liest löscht es das account table. Und nein die beiden Minuszeichen (--) sind
kein "voll str3ng geheimer h4cking c0de" sondern sind ein Kommentar in SQL und
bewirken was alles was nach unserem DELETE Statement steht igoniert wird.

Alles anzeigen

Sonst würde ein Error kommen oder es würde garnicht funzen wegen dem Apostof da hinter oder?[/SIZE][/COLOR][/FONT]

Dann fügt man Wörter hinzu die bei der Regsitrierung nicht angegeben werden dürfen zu, blockt Sonderzeichen. Dann sollten normal die die noch wenig Ahnung haben nicht verstehen wie das mit SQL Injections funktioniert. xD Natürlich gibt es immer Wege, irgendwie doch dran zukommen

Zitat

Sonst würde ein Error kommen oder es würde garnicht funzen wegen dem Apostof da hinter oder?

Würde man das Apostroph nicht durch das Minus-Minuszeichen auskommentieren
würdest du einen SQL error ausgegeben bekommen.