🚀 go-pugleaf

Wenas,

> Aunque claro, deberia mostrar los datos... si ahces el query y no se imprime
> nada no sirve

> �como muestras los datos despues? o en ese caso salen solos?

Pues como te comentan la idea es probocar un error al hacer un union
entre un int y un string, as� la p�gina devuelta muestra el error q ha
generado el sql server.
> 
> Ojo a que he quitado las comillas por el tema que decia mike
> 
Probar� a ver si es cosa de las comillas ...

> a todo esto �esto no seria sql injection no? me refiero a que seria
> aprovechar un fallod e programacion pero no a sql injection en si. creo que
> esto deberia ser algo mas a lo basto, me refiero a llamar aa sql desde el
> raiz de la pagina o con algun archivo directo �?

Uhm ... en mi opini�n se entiende como sql injection a a�adirle a una 
query 'legitima' datos para q se ejecute codigo sql no 'legitimo' para 
nuestro beneficio. En este caso el c�digo deberia probocar un error q nos
mostraria el passwd.

>> Server: Msg 245, Level 16, State 1, Line 1
>> Syntax error converting the varchar value 'test      ' to a column of
>> data type int.

Como tu dices esto es posible pq el programador meti� la gamba y no 
chequeo correctamente los parametros q le pasan a su asp.

Saludos,
Roger_J

-- 
Linux User 138584
Donde hay una pared no hacen falta ventanas