---
title: "Sql Injection, Mysql, Trappable error"
type: "forum-thread"
url: "https://www.webforum.nu/amne/asp/177250-sql-injection-mysql-trappable-error"
topic: "ASP"
topic_url: "https://www.webforum.nu/amne/asp"
author: "l-boy"
published: "2009-03-02T15:58:58.000Z"
updated: "2009-03-02T16:14:45.000Z"
replies: 1
views: 414
page: 1
pages: 1
language: "sv-SE"
site: "webForum — webforum.nu"
rights: "Upphovsrätten till varje inlägg tillhör dess författare."
attribution: "Citera som: webForum, https://www.webforum.nu/amne/asp/177250-sql-injection-mysql-trappable-error"
---

# Sql Injection, Mysql, Trappable error

## #1 — l-boy, 2009-03-02T15:58Z

```
sql = "SELECT username, password "
sql = sql & " FROM users "
sql = sql & " WHERE userId = '"& request.querystring("userId") &"';"
rs.open sql, db
if not rs.eof then
  do while not rs.eof	
    response.write(rs("username") &";"& rs("password") & chr(13))
    rs.movenext
  loop
end if
```

Ovanstående kod är som synes helt oskyddad mot sql-injections. Om t.ex:

```
request.querystring("userId") = "1' or 1=1'"
```

så får jag ut en massa användare. Om jag däremot vill göra något annat dumt, tex drop table, så försökte jag med följande:

```
request.querystring("userId") = "1'; drop table documents; select * from users where username like '%"
```

Med ovanstående kod får jag ett felmeddelande: A trappable error (C0000005) occurred in an external object. The script cannot continue running. 

Om jag istället kör sql-queryin som genereras ovanför och kör den i Php-myadmin så raderas tabellen documents korrekt.  Min fråga - varför går detta ej att göra direkt i webbläsaren?

Permalänk: https://www.webforum.nu/p/177250

## #2 — l-boy, 2009-03-02T16:14Z

Verkar inte som att jag kan köra två ;-separerade kommandon över huvudtaget. Är detta någon inställning i MySQL?

(Och nej, har ingen ond uppsåt med detta. Tvärt om - skall eliminera möjligheterna att någon ställer till problem)

Permalänk: https://www.webforum.nu/p/2173863

---

Tråden på webben: https://www.webforum.nu/amne/asp/177250-sql-injection-mysql-trappable-error