Intermediário 8 desafios

Injeção de SQL

Todo site guarda dados num banco e pergunta a ele em SQL. Quando o site monta essa pergunta colando o que você escreve, sem separar o dado do comando, uma aspa no lugar certo muda a pergunta inteira. Aqui você segue a injeção de SQL em pedaços: primeiro reconhece onde a entrada do usuário entra na consulta, depois burla um login com uma aspa, descobre quantas colunas a consulta tem, lê outra tabela com UNION SELECT, arranca um segredo às cegas quando a página não mostra nada, usa o catálogo do banco para mapear tabelas que você não conhecia e, no fim, junta tudo. Cada desafio termina no mesmo conserto: a consulta parametrizada, que entrega o valor como dado e nunca como comando. Tudo se resolve lendo o código e rodando o sqlite3 nos arquivos que vêm no desafio. Nada mira sistema real: o alvo é sempre uma loja de brinquedo, a AgroPampa.