Ta sig förbi skydd mot SQL injection

Jag kan grunderna vad gäller SQL injections, och förstår logiken och varför en sida är sårbar etc. Har dock inte lyckats komma underfund med hur man tar sig förbi enkla skydd mot just SQl injections. Låt oss säga att man kör Replace(indata,"'","''") innan allt sätts in i SQL-queryn (' ersätts med ''). Tror detta är samma sak som Magic Quotes i php, men kan inte php särskilt bra så är inte säker.
mySql stödjer ju visserligen även att man skriver '\ istället för '', problemet är att \' blir \'' om sidan är skyddad på detta sätt, vilket gör det oanvändbart...

Har läst en mängd olika sidor som påstår att detta skydd knappast ens är värt namnet, dock ingen som visar hur man tar sig förbi det. Några förslag?

Skriv din dödskod hexadecimalt?

Lånar lite:

Går det att köra nått liknande som SELECT 1 INTO OUTFILE sen hexkod för path

Mjah, det borde väl funka. Enda haken är att om man skickar HEXKOD som indata till ett script som ska ta emot en stäng, får man:
SELECT * FROM tabell WHERE någonting='HEXKOD'
HEXKOD tolkas då som en sträng och den kommer leta efter poster där nånting="HEXKOD" istället för att leta efter poster där nånting=hexkodens värde.

Skickar jag 0x41726e65 (hexkod för Arne) letar datasbasen upp posten som heter 0x41726e65 och inte posten som heter Arne.

använda concat och char:


eller som någon ovanför nämnde:

unhex()

Hm, lyckas fortfarande inte.


Ovanstående fungerar jättebra, de hämtar ut posten admin.

De två nedan vill däremot inte funka...

Vad gör jag för fel?

Ja vad tror du själv? Den tolkar allt inom ' ' som en sträng, alltså söker den efter text som innehåller 'unhex(0x61646d696e)'. Den kör alltså inte unhex-funktionen på värdet 0x61646d696e, vilket är vad du är ute efter.

Precis. Det var det jag skrev i inlägg #4. Frågan är bara hur man tar sig förbi det?

Det går inte. Pröva ladda filer med load_file istället och kom vidare med det eller ge upp.

Går inte :/

Det är det väl klart det går.

Din replace(indata,"'","''") går att enkelt ta sig förbi med att injecta \' .. då queryn blir att se ut som indata = '\'' vad du vill#'

Även mysql_real_escape_string() och PHP's magic quotes går att ta sig förbi vid vissa omständigheter. Mer om detta på t.ex http://cognifty.com/index.php/blog.e..._comeback.html