Instructeur: Oké, laten we nu proberen te bepalen hoeveel
kolommen er op deze pagina worden geselecteerd.
Dus hoeveel informatie wordt geselecteerd
en getoond op deze pagina.
Dus om dat te doen, gaan we het commando bestellen op gebruiken.
Dus we bestelden per één
en dat leverde iets op dat
acceptabel was, maar bestellen per 100.000 gaf een fout.
Dus laten we proberen te ordenen door 10.
En we krijgen nog steeds een foutmelding.
Dus ik doe een bestelling per vijf.
En dat werkt.
Dus laten we proberen een order door zes te doen en dat geeft een fout.
Dus door dit te doen, weten we dat er vijf kolommen zijn of
worden geselecteerd uit een bepaalde tabel en dat is de boekhoudingstabel.
En weergegeven op deze pagina.
Laten we dus proberen ons eigen select statement te maken
en het te laten uitvoeren op de doelcomputer.
Dus laten we hier komen en proberen
het daar op te bouwen.
Dus op dit moment is het statement select
star from accounts where username is equal to zaid en we doen
een order by one.
Laten we eens kijken of we dat kunnen oplossen en
iets kunnen selecteren dat we leuk vinden.
Dus de normale manier om dingen te selecteren
is met dit formaat.
Maar omdat we proberen meerdere selecties te maken
en we het vanuit de URL proberen te
doen, moeten we eerst een unie gebruiken en dan zeggen
we selecteer.
Dan moeten we ons voorstellen wat
er op deze applicatie gebeurt.
Dus in deze webapplicatie weten
we dat er vijf records worden geselecteerd.
Er zijn dus vijf kolommen die worden geselecteerd.
Dus we doen één, twee, drie, vier, vijf en dat
hebben we van de opdracht.
Dus laten we dit uitvoeren en kijken wat er gebeurt.
En ik heb vakbond verkeerd gespeld.
En zoals je nu kunt zien, was de selectie
goed en kregen we de
eerste selectie, dus de eerste selectie die deze
regel doet is gedaan en daarna deed het de unie.
Dus het combineerde die selectie met een andere selectie en liet
ons iets anders zien.
En zoals je hier kunt
zien, zien we alleen twee, drie en vier.
En dat betekent dat elke waarde die u in een
nummer twee of drie of vier
zet, wat u ook wilt selecteren, op deze
pagina op deze specifieke plaats
wordt weergegeven.
En je ziet dat je hier resultaten hebt voor twee.
Dus wat je in twee zet, wordt hier ook getoond.
Dus laten we proberen onze database te bekijken.
Dus in plaats van nummer
twee, ga ik database zeggen.
En in plaats van nummer drie, ga
ik gebruikersnaam zeggen.
Of gebruiker.
En in plaats van nummer vier,
ga ik een versie doen.
En dit selecteert de huidige database, de
huidige gebruikersrechten die we hebben
en de versie van de database.
Dus laten we kijken of dit wordt uitgevoerd
en dan praten we erover.
Oké, cool.
Dus de gebruikersnaam is owasp10
en dat was nummer twee,
dus dat is de database die we zoeken.
Dus de database is owasp10.
De huidige gebruiker waarmee we zijn ingelogd is root@localhost,
dus we zijn de root-gebruiker.
En in de handtekening, dus
deze dingen betekenen eigenlijk niets.
We zijn alleen bezorgd over dit en wat
we geïnjecteerd hebben en we hebben de versie
geïnjecteerd en we kunnen zien dat
dit de versie van MySQL is, dus het is 5. 0. 51.
Dus op dit moment weten we dat onze database
waarmee we verbonden zijn owasp10 is.
Gewoonlijk wordt in de meeste reële scenario's elke database
toegewezen aan een bepaalde gebruiker.
Dus meestal kun je alleen dingen
selecteren, tabellen, kolommen, gegevens die zich
in deze huidige database bevinden.
Op dit moment zijn we ingelogd als root.
Dus deze webapplicatie is verbonden met de database als root, dus
daarom hebben we eigenlijk toegang
tot andere databases, maar dit gebeurt
niet echt in echte scenario's.
Gewoonlijk heeft elke gebruiker zijn eigen database.
Dus wanneer ze een webapplicatie verbinden met een database,
verbinden ze die met één database en
daarom heb je geen toegang tot andere databases.
Dus dat gaan we overwegen.
We nemen aan dat we alleen toegang hebben
tot owasp10, onze huidige database voor deze
website.
En dat de gebruikersnaam root@localhost is.
In de volgende video's
zullen we zien hoe we dit verder kunnen uitbuiten
en krachtiger select statements kunnen maken.