dúvida SQLi - pq acontece isso?

[jofre]

Fala ae, seus casca de ferida

é o seguinte, tô eu aqui fazendo a lição de casa, praticando um pouco de SQLi - já sei alguma coisa, mas ainda é pouco - quando me deparo com a seguinte siutação

tá lá o meninão:

Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...

aí fui eu lá todo pimpão e coloquei o ' depois do 50, assim:

Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...

e BAM! SQL error! falei: já era, fi. foi pro fubá!

aí fui lá e continuei a aventura:

Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar... order by 1--/alinhamento.html

carregou normal. e aí que vem a treta, aumentei order by até uns 9999999 e nada de dar erro!

Pô! como assim?! alguém sabe me dar uma luz?

se com o ' ele deu erro, quer dizer que é vul, não?
por que não consigo encontrar o número e colunas?

desde já agradeço

abraço

[MR-B34N-H5]

Quando acontecer isso tente automatizar o processo usando algumas ferramentas, como o Sqlmap ou o Havij.

[GrupoYoda]

Boa tarde meu amigo,

De fato já vi isso ocorrer algumas vezes, nesse caso sugiro uma ferramenta chamada Havij, ele ajuda a verificar a vulnerabilidade do site, não gosto de usar ferramentas, mas em alguns casos se torna necessário.

[Inacity]

Amigo não sou especialista mas acho que ai o facto de não encontrar o número e colunas é porque a programação não deve estar correta, pois também testei na ferramenta 'havij' e nada.

Simplesmente passe um scan no site e analise a programação dele ;s.

[GrupoYoda]

Amigo não sou especialista mas acho que ai o facto de não encontrar o número e colunas é porque a programação não deve estar correta, pois também testei na ferramenta 'havij' e nada.

Simplesmente passe um scan no site e analise a programação dele ;s.

Bem, pra ser sincero não cheguei a passar o havij, mas já que o amigo de cima passou e não obteve sucesso, já que você sabe o domínio, tente passar o languard no domínio do site, i languard te voltará o sistema operacional, provavelmente será baseado em unix, aí é só diversão, utilizando a porta certa você pode brincar bastante, mas cuidado, entre escondendo seu ip e tenha em mente os comandos para sistemas baseados em unix; sem falar tambem que precisa saber quais portas estarão disponíveis, mas mesmo assim, mandando os comandos em unix corretos, você tem um relatório bem completo sobre como está a vulnerabilidade do sistema...

Outra saída talvez menos trabalhosa, seria o teleport pro, com ele o site é analisado e você consegue com precisão as tabelas e as colunas, enfim... espero ter ajudado ^^