[Fix] SQL Injektion

[CallMeEclipse]

There's no point to adding this. It doesn't fix injection since there was no injection in the first place. If your website has account validation( > 3 characters & no special characters ) then you don't need this.

[- Major]

Originally Posted by CallMeEclipse

There's no point to adding this. It doesn't fix injection since there was no injection in the first place. If your website has account validation( > 3 characters & no special characters ) then you don't need this.

This is a another way to fix this ;D

[.SnoX]

Originally Posted by CallMeEclipse

There's no point to adding this. It doesn't fix injection since there was no injection in the first place. If your website has account validation( > 3 characters & no special characters ) then you don't need this.

Originally Posted by Armageddon ᵀᴹ

This is a another way to fix this ;D

Ich bin echt sprachlos, wenn man keine Ahnung hat, wieso schreibe ich dann was was am ende vielleicht oder eher mit großer Wahrscheinlichkeit eh nur scheiße ist. Die Website hat ja mal rein gar nichts damit zu tun, klar jede 0815 Website hat heut zu Tage anti sql inject schon drin bei der ACCOUNTERSTELLUNG! ..
Der Code hier ist dafür gedacht das man mit dem CE durch die Charaktererstellung und noch ca 10 andere Orte wo man injecten könnte zu verhindern mit invalid letter -.-"

Also bitte erstmal "klatscht" man den Code NICHT

überall dort hin wo ihr lpDbOverlappedPlus->AccountInfo.szAccount findet

das wäre total Sinnfrei.

Hättet ihr den Code gelesen wüsstet ihr das der Code eigentlich für

CreatePlayer()

gedacht war ~.~

Die Rechtschreibung schenke ich euch gerade, weil ich bei sowas echt nicht auf Rechtschreibung achte.

[- Major]

Originally Posted by .SnoX

Ich bin echt sprachlos, wenn man keine Ahnung hat, wieso schreibe ich dann was was am ende vielleicht oder eher mit großer Wahrscheinlichkeit eh nur scheiße ist. Die Website hat ja mal rein gar nichts damit zu tun, klar jede 0815 Website hat heut zu Tage anti sql inject schon drin bei der ACCOUNTERSTELLUNG! ..
Der Code hier ist dafür gedacht das man mit dem CE durch die Charaktererstellung und noch ca 10 andere Orte wo man injecten könnte zu verhindern mit invalid letter -.-"

Also bitte erstmal "klatscht" man den Code NICHT
das wäre total Sinnfrei.

Hättet ihr den Code gelesen wüsstet ihr das der Code eigentlich für gedacht war ~.~

Die Rechtschreibung schenke ich euch gerade, weil ich bei sowas echt nicht auf Rechtschreibung achte.

:O Tut mir leid das bei mir kein CE mehr funkt -.--- ...
Und nebenbei steht das selbe was du geschrieben hast dort auch drin :x ..
Denk mal genau nach warum ..

[Velmore]

Originally Posted by Armageddon ᵀᴹ

:O Tut mir leid das bei mir kein CE mehr funkt -.--- ...
Und nebenbei steht das selbe was du geschrieben hast dort auch drin :x ..
Denk mal genau nach warum ..

Jo du kannst CE Fixen. Den Speedhack ja aber generell das man im Memory rumspielen kannst wirst du so einfach nicht fixen können.

[.SnoX]

Originally Posted by Armageddon ᵀᴹ

:O Tut mir leid das bei mir kein CE mehr funkt -.--- ...
Und nebenbei steht das selbe was du geschrieben hast dort auch drin :x ..
Denk mal genau nach warum ..

Naja was heißt kein CE geht mehr bei dir, die kleinen Leecher die sowieso ohne brain.exe arbeiten, bei denen wirds wohl nicht gehen, da empfehle ich auch CE über FindWindow zu fixen. Aber wenn du CE wirklich komplett fixen willst würde ich doch ReadFile nehmen + viel Fantasie.

JA warum steht es bei mir drin, weil der Code jetzt ca. 2 oder 3 Monate alt ist und ich ihn da "nur" für CreateChar benutzt habe.

[CallMeEclipse]

arRead.ReadString( lpDbOverlappedPlus->AccountInfo.szAccount, MAX_ACCOUNT );

LPTSTR CAr::ReadString( LPTSTR lpsz, int nBufSize )
{
	int nLen;
	*this >> nLen;

	int nReadable	= nBufSize - 1;
	if( nLen > nReadable || nLen < 0 )
	{
		memset( (void*)lpsz, 0, nBufSize );
		m_lpBufCur	= m_lpBufMax;
		return lpsz;
	}
	else
	{
		Read( lpsz, sizeof(TCHAR) * nLen );
#if defined(__CLIENT) || defined(__DBSERVER)
		for( int i=0;i<nLen;i++ )
#ifdef __CLIENT
			if( lpsz[i] == '\x60' )
				lpsz[i] = '\x27';
#else // __CLIENT
#ifdef __DBSERVER
			if( lpsz[i] == '\x27' )
				lpsz[i] = '\x60';
#endif // __DBSERVER
#endif // __CLIENT
#endif // defined(__CLIENT) || defined(__DBSERVER)

		lpsz[nLen] = '\0';
		return lpsz;
	}
}

Tell me again how SQL injection is possible.

If you enter
'; DROP TABLE
the dbserver will receive it as
`; DROP TABLE

`does not escape '.

If your website enforces > 3 character accounts and no special characters(which I'm fairly sure every single site does) your 'fix' is absolutely useless, seeing as the account wouldn't be found and nothing would happen.

P.S. English is a difficult language isn't it?

[- Major]

Originally Posted by .SnoX

Naja was heißt kein CE geht mehr bei dir, die kleinen Leecher die sowieso ohne brain.exe arbeiten, bei denen wirds wohl nicht gehen, da empfehle ich auch CE über FindWindow zu fixen. Aber wenn du CE wirklich komplett fixen willst würde ich doch ReadFile nehmen + viel Fantasie.

JA warum steht es bei mir drin, weil der Code jetzt ca. 2 oder 3 Monate alt ist und ich ihn da "nur" für CreateChar benutzt habe.

Leecher ??? Ich leeche rein garnichts vor allem finde ich rein garnichts irgendwo ^^ Sonst google bitte für mich ^^ .. Dein gehate juckt mich rein garnicht und vorallem weiß ich nicht was das soll, aber okay Ich wollte nur für ein paar Leute etwas gutes tun ^^

[.SnoX]

Originally Posted by CallMeEclipse

arRead.ReadString( lpDbOverlappedPlus->AccountInfo.szAccount, MAX_ACCOUNT );

LPTSTR CAr::ReadString( LPTSTR lpsz, int nBufSize )
{
	int nLen;
	*this >> nLen;

	int nReadable	= nBufSize - 1;
	if( nLen > nReadable || nLen < 0 )
	{
		memset( (void*)lpsz, 0, nBufSize );
		m_lpBufCur	= m_lpBufMax;
		return lpsz;
	}
	else
	{
		Read( lpsz, sizeof(TCHAR) * nLen );
#if defined(__CLIENT) || defined(__DBSERVER)
		for( int i=0;i<nLen;i++ )
#ifdef __CLIENT
			if( lpsz[i] == '\x60' )
				lpsz[i] = '\x27';
#else // __CLIENT
#ifdef __DBSERVER
			if( lpsz[i] == '\x27' )
				lpsz[i] = '\x60';
#endif // __DBSERVER
#endif // __CLIENT
#endif // defined(__CLIENT) || defined(__DBSERVER)

		lpsz[nLen] = '\0';
		return lpsz;
	}
}

Tell me again how SQL injection is possible.

If you enter
'; DROP TABLE
the dbserver will receive it as
`; DROP TABLE

`does not escape '.

If your website enforces > 3 character accounts and no special characters(which I'm fairly sure every single site does) your 'fix' is absolutely useless, seeing as the account wouldn't be found and nothing would happen.

P.S. English is a difficult language isn't it?

You write with me? Yea your code is absolutly correct but only because you are using the code from mootie.. in the v15 clean source you can only find this.

LPTSTR CAr::ReadString( LPTSTR lpsz )
{
// if nMax is negative (such a large number doesn't make sense given today's
// 2gb address space), then assume it to mean "keep the newline".
int nLen;
*this >> nLen;
Read( lpsz, sizeof(TCHAR) * nLen );
lpsz[nLen] = '\0';
return lpsz;
}

LPTSTR CAr::ReadString( LPTSTR lpsz, int nBufSize )
{
// if nMax is negative (such a large number doesn't make sense given today's
// 2gb address space), then assume it to mean "keep the newline".
int nLen;
*this >> nLen;

int nReadable = nBufSize - 1;
if( nLen > nReadable || nLen < 0 )
{
memset( (void*)lpsz, 0, nBufSize );
m_lpBufCur = m_lpBufMax;
return lpsz;
}
else
{
Read( lpsz, sizeof(TCHAR) * nLen );
lpsz[nLen] = '\0';
return lpsz;
}
}

.. so replace it with "your" code and its fixed too. Here you can read how to fix the inject.


Back to your question.. if you dont use the code you can do it..
keep calm

Originally Posted by Armageddon ᵀᴹ

Leecher ??? Ich leeche rein garnichts vor allem finde ich rein garnichts irgendwo ^^ Sonst google bitte für mich ^^ .. Dein gehate juckt mich rein garnicht und vorallem weiß ich nicht was das soll, aber okay Ich wollte nur für ein paar Leute etwas gutes tun ^^

He? Ich sag doch gar nicht das du leechst, weiss gar nicht woher du das wieder entnommen hast, der releaste fix für CE geht einmal über FindWindow der fürn Arsch ist, warum? Naja FindWindow halt.. benutze ich halt nen anderen. Das ist auch kein "gehate" was ich hier mache Bruder, haha. Es geht nur darum wenn man was released sollte man schon wissen wie man es auch richtig benutzt, sonst haste am Ende wieder mehr scheiße die du wegmachen musst, ich glaub darauf steht keiner hier.

[- Major]

Originally Posted by .SnoX

He? Ich sag doch gar nicht das du leechst, weiss gar nicht woher du das wieder entnommen hast, der releaste fix für CE geht einmal über FindWindow der fürn ***** ist, warum? Naja FindWindow halt.. benutze ich halt nen anderen. Das ist auch kein "gehate" was ich hier mache Bruder, haha. Es geht nur darum wenn man was released sollte man schon wissen wie man es auch richtig benutzt, sonst haste am Ende wieder mehr scheiße die du wegmachen musst, ich glaub darauf steht keiner hier.

Kam dennoch so rüber :X .. Werde die Tage das Tut rein knallen, wenn ich Zeit habe ..

[Wanetrain]

Originally Posted by Velmore

Jo du kannst CE Fixen. Den Speedhack ja aber generell das man im Memory rumspielen kannst wirst du so einfach nicht fixen können.

Schonmal was von "inline" oder "forceinline" gehört? ._.

CAr::ReadString um zu schreiben ist im übrigen NICHT zu Empfehlen, es sei denn ihr wollt die Server latenz noch mehr drücken als sie so schon ist, aber hey, ihr wisst ja alles was ihr tut.