Vous pouvez créer un UNION SELECT ici. Le seul problème est de faire correspondre les colonnes des messages, mais vous pouvez les deviner en ajoutant des colonnes jusqu'à ce qu'elles tiennent:

  SELECT * FROM messages WHERE non lus = 1 LIMIT 1 UNION SELECT mail, mot de passe, 1 , 1,1 FROM utilisateurs  

Continuez simplement à ajouter , 1 jusqu'à ce que vous obteniez le nombre de colonnes correct. Vous devez également faire correspondre le type de colonne. Essayez null au lieu de 1.

Si vous voyez des erreurs MySQL qui pourraient aider beaucoup ici. Sinon, vous avez beaucoup essayé.

Voir également Test d'injection SQL sur owasp.org pour plus de détails.

Soit il n'y a presque pas de contraintes, et vous pouvez le faire de la manière habituelle (UNION ou '; XXX ---')

Parfois ce n'est pas possible, et vous devrez vous rabattre sur une expression booléenne dans LIMIT. C'est une injection SQL aveugle, et cela vous permettra de vider la base de données entière un bit à la fois.

MySQL prend en charge plusieurs instructions et depuis au moins 4.1 il y a dix ans. Par exemple, vous pouvez activer ceci dans le module mysql de Perl en utilisant mysql_multi_statements .

Bien que la bibliothèque cliente ne puisse pas prendre en charge plusieurs instructions pour le moment, vous Il ne s’agit que d’une mise à niveau ou d’un changement de configuration loin d’une faille de sécurité.

La requête de votre ami ne serait pas d'une grande utilité aujourd'hui, mais ce sera peut-être plus tard, mais à mesure que les technologies évoluent et que le SGBD MySQL est en constante amélioration comme beaucoup d'autres technologies, votre ami doit nettoyer l'entrée dans le cas du L'instruction code> LIMIT serait modifiée pour qu'il soit possible d'utiliser UNION juste après. Votre ami peut également envisager le cas où l'architecture du SGBD MySQL serait modifiée de manière à ce qu'il soit possible d'exécuter plusieurs instructions SQL contrairement à ce qu'il est actuellement.

Ce que je veux dire, c'est que votre ami doit nettoyer l'entrée: c'est la meilleure pratique: vous ne voyez peut-être pas cela trop important aujourd'hui, mais à l'avenir, vous ne le saurez jamais, et rappelez-vous qu'il y a toujours des gens qui peuvent être plus expérimentés que votre ami.

La définition d'une limite de 1 UNION SELECT ... permettra à l'attaquant d'extraire des informations de n'importe quelle autre table, tant que les colonnes ont (ou peuvent être CAST avoir) le même nombre et le même type que les colonnes du premier SELECT . Définir une limite en tant que valeur produite à partir d'un sous- SELECT permettra à l'attaquant de lire tout autre par exemple, le hachage du mot de passe d'un autre utilisateur peut être extrait 4 bits à la fois en effectuant à plusieurs reprises une sous-requête renvoyant un nombre entre 0 et 15 à différents décalages de sous-chaînes, puis en comptant les lignes dans chaque résultat.

Mais ces deux attaques peuvent être déjouées. De nombreux pilotes de base de données autorisent une LIMIT paramétrée. Si un pilote particulier interfère avec un paramétré LIMIT , vous pouvez nettoyer l'entrée en convertissant l'entrée en un entier avant de la remplacer par une chaîne dans la requête. Cela vous aidera également à vous assurer de ne pas renvoyer plus d'enregistrements que votre application peut gérer à partir d'une requête (comme LIMIT 12345678 ). En PHP, cela pourrait ressembler à ceci:

  <? php //...$ limit = intval ($ _ REQUEST ['numresults']); $ limit = min (max ($ limit, 10), 100); $ stmt = $ dbh->prepare ("SELECT ... FROM ... WHERE ... LIMIT $ limit ");  

C'est le bon moment pour utiliser les instructions préparées par PDO et bindParam cette variable comme une entrée uniquement entière. Cela devrait annuler toute tentative de ce que vous essayez de faire en injectant du SQL.

J'envisagerais également de laisser l'utilisateur choisir parmi une liste prédéfinie de nombres dans une liste déroulante. À moins que la page de résultats ne soit configurée pour paginer, vous pouvez potentiellement avoir un beau gâchis entre vos mains en essayant de charger 100000 enregistrements sur une page.