SQLI in order by

만약 Injection 벡터가

select * from post order by $_GET['input']

꼴로 일어나면 $_GET['input'] 에다가 바로 sub query 를 넣고 error & blind 혹은 time based sqli 가 가능하다.

=> (select if(1=1, (select 1 union select 2), 0)) 꼴로 하면 조건이 true가 되면 에러가 터지게 되어서, 이걸로 blind가 가능하다. 물론 union 이 아닌 row가 2개이상 나오는 query를 줘도 된다.

하지만

select * from post order by idx $_GET['input']

꼴로 일어나서 input에 desc 같은게 들어간다고 하면

select * from post order by idx desc, ( select ~~ )

꼴로 해주면 덴다