Mensajes

Ok, muchisimas gracias por tu respuesta.
Tambien encontre otra pagina en el mismo server que haciendo un

Código [Seleccionar] Expandir

union select 1,1,1,1,1,1,1,1,1,1,1,1 from noticias where campo = algo

no me tirara error, por lo tanto descubri la tabla noticias y un par de campos.
El tema es que todos los manuales de sql injection que leo, dicen que mediante los errores te van dando nombres de tablas o de campos. Aca nunca me dio nada de eso, tuve que ir adivinando los nombres.
Pero despues de ahi no se como seguir, me parece que lei en un post de aca que hay que reemplazar uno de los "1" con el nombre del campo o algo por el estilo, pero no encontre ningun manual que me lo explique bien.
Puedo hacer algo con esto mas que leerle las noticias? hay forma de pasar a la tabla de usuarios a partir de esto??

Hola, quisiera ver si es posible hacer un sqli en una pagina.
La direccion es del tipo: http://www.pagina.com/area.aspx?id=1.
Tira error cuando le inserto el ', pero no importa lo que ponga, el error es siempre el mismo:

Código [Seleccionar] Expandir


Server Error in '/' Application.
Input string was not in a correct format.


Line 34:         if (Request.QueryString["id"] != null)
Line 35:         {
Line 36:             int id = int.Parse(Request.QueryString["id"]);


El servidor es Windows 2003 SP2 con IIS 6, SQL server 2005 y MySQL 5.0.24.

En ese mismo servidor hay otra pagina hosteada que tambien me tira el mismo error siempre, y probando por otro lado me tira este:

Código [Seleccionar] Expandir


Server Error in '/' Application.
Error converting data type nvarchar to int.


Por lo visto tambien convierte el campo en entero.

Ahora mi pregunta es esta:
ese int.Parse, transforma todo lo que le ponga a un entero, por lo tanto cualquier intento de injection no va a funcionar?

Gracias de antemano