sql inj: связка order+union

[SaraTancredi]

есть на сервере скриптик с известным исходником

PHP код:

$query = "SELECT name, date FROM post ORDER by date desc LIMIT $start,$per_page"; 


так вот, в переменную $per_page можно загнать через _POST любое значение (даже с кавычками и слешами) но т.к. стоит ORDER то union не работает, выдает

Incorrect usage of UNION and ORDER BY

чтоб заработало - надо ставить скобки типа такого

PHP код:

(SELECT ... ORDER ...) union (SELECT ... ) 


но так ессно сделать нельзя, т.к. можно писать только в конец запроса через $per_page

нужно вытащить пароль (md5 пароля) pass из таблицы users, имя юзера известно; или сделать себе статус админа (через UPDATE - столбец user_type в той же таблице)

или хотя бы узнать - может навредить сайту такая "дыра" хоть как-то, движок распространён достаточно - нужно тогда девелоперам писать на багтрак

вот собсно проблема, всем заранее спасибо за совет

[Deementor]

SaraTancredi, гы, стеб уместен только в определенных местах.
погнали короче:
функция
$per_page выводит кол-во страниц выведенных на показ.
Ваш скрипт нуждается в отладке. Какой именно скрипт я не знаю, их туево тутуево и ваше "известный скрипт" по крайней мере мне ни чего не говорит.
На сколько я понял постраничный вывод базы данных уже сделали )))
Если мне не изменяет память, есть уязвимость этой функции.
Это просмотр страницы в обход проверки прав. Известный мне способ лечения:

in the file: func_topic_threaded.php:
делаем следующие:
находим
/-/
 Are we viewing Posts?
/-/

  $post_id = intval($this->ipsclass->input['pid']);

И после добавляем следующие:
  if($post_id && !in_array($post_id, $this->pids))
  {
  $this->ipsclass->Error( array( LEVEL => 1, MSG => 'missing_files') );
  }

Собственно все.

В вашем же случае взломщик попробует сгенерировать страницу из базы данных с user_name and pass,

Но как вы сами убедились не чего не получится.
Вроде максимально полно ответил )))
P.S. ежели чего, не кидайте камнями.

[SaraTancredi]

спасиб за ответ
осталось несколько вопросов
- залатать дыру просто, надо поставить

PHP код:

$per_page = intval($per_page); 


- "известный скрипт" - DLE всех последних версий
- интересует именно незалатанный вариант - может ли что-то сделать злоумышленник?
Просто этот order by всю малину портит, без него было бы прекрасно

PHP код:

$query = "SELECT name, date FROM post LIMIT 0,$per_page";  
$per_page="1 UNION SELECT name,pass FROM users WHERE user_type=admin LIMIT 0,1" 


а с order надо оба запроса в скобки ставить, но вначале нельзя поставить скобку - только в конце "дописывать" запрос. вот и инетресно - можно ли что-то дописать (какой-нить JOIN) чтоб выполнить операцию в БД
вообще по синтаксису SELECT после LIMIT может идти только [PROCEDURE procedure_name] и [FOR UPDATE | LOCK IN SHARE MODE]

[Deementor]

SaraTancredi, я что то не въеду ни как, ты спрашиваешь или утверждаешь? если читать как вопрос, то ты сама же на него и даешь ответ. Только смотришь на вещи стандартно.
Если есть возможность генерации неавторизованной страницы в базе sql, то это должно навести на мысль sql-инъекции. Что в свою очередь даст возможность сделать бэкап этой базы на машину мошенника. Которую в exel он легко откроет и выдернит MySQL или MySQL5 хеши. И админский и пользовательский.
Как я понимаю таким хаком

PHP код:

$per_page = intval($per_page); 


ты только преобразуешь переменную $per_page к целому типу, тоесть запретишь "@%* но не запретишь генерацию строки.