sql >> Database teknologi >  >> RDS >> Mysql

Hvordan kan jeg teste mit PHP MySQL-injektionseksempel?

Et af de mest almindelige eksempler er denne forespørgsel:

' or '1'='1

Hvis du indtaster dette som brugernavn og adgangskode i et eller andet usaneret login-input, ændres forespørgslen sådan:

Original: SELECT * FROM USERS WHERE USER='' AND PASS='';
Modified: SELECT * FROM USERS WHERE USER='' or '1'='1' AND PASS='' or '1'='1';

Dette medfører, at hver ting, den leder efter, er sand, da 1 altid vil være lig med 1. Problemet med denne metode er, at den ikke tillader valg af en bestemt bruger. Hvis du gør det, skal du få det til at ignorere OG-udsagnet ved at kommentere det ud, som det ses i andre eksempler.



  1. Splitting Strings:En opfølgning

  2. Mysql - opret forbindelse til fjernserver ved hjælp af IP-adresse

  3. Pyodbc - Datakildenavn ikke fundet, og ingen standarddriver angivet

  4. Introduktion til ventestatistik