RDot - Странная SQLi в INSERT

RDot (https://rdot.org/forum/index.php)

- Web-среда/Web-applications (https://rdot.org/forum/forumdisplay.php?f=9)

- - Странная SQLi в INSERT (https://rdot.org/forum/showthread.php?t=4912)

Странная SQLi в INSERT

Нашёл простейшую SQLi в INSERT типа такого:

Цитата:

INSERT INTO table (col1, col2, col3) VALUES('a', '[INJ_HERE]', 'c')

Беру такой пейлод:

Цитата:

', 'sometext'); --

Запись с "sometext" отлично добавляется в базу и её видно в веб-морде.
Аналогично

Цитата:

', (SELECT 'sometext')); --

Однако пейлоды с функциями и табличками внутри не работают (вывода ошибок нет)

Цитата:

', (SELECT USER())); --

Цитата:

', (SELECT COUNT(*) FROM inforation_schema.TABLES)); --

Работает вот так:

Цитата:

', (SELECT COUNT(*) FROM (SELECT 1)a)); --

Подумал что вырезаются функции стандартные типа USER(), VERSION(), DATABASE(). Однако если их заключить в кавычки, то ничего не режется:

Цитата:

', (SELECT 'USER()')); --

Пробовал и простые типа CURTIME() - та же история.

В чём может быть причина? Ни разу такого поведения не встречал.

Новая инфа - это инъекция одновременно в SELECT и INSERT . Первое перед вторым.
Есть догадка что запрос идёт через какую-то ORM, которая пытается изменять запрос и глушит вызовы функций.
Одинаково не работают VERSION(), VersION(), VeRsion ( ). Ну и вообще все функции - ASCII, CHAR, ... .

Для тех, кто предпочитает учиться по тексту, ваше руководство будет полезным. Вы можете найти на YouTube похожие учебники.