111,120
社区成员
发帖
与我相关
我的任务
分享sql语句被注入的问题
string sName = ?
string sPassWord =?
sName =sName.replace("'","");
sPassWord = sName.replace("'","")
string sqlStr ="select * from table where password ='"+sPassword+"'+" and name ='"+sName+"'"
执行这个sql语句怎么注入能成功?
string sPassWord =?
sName =sName.replace("'","");
sPassWord = sName.replace("'","")
string sqlStr ="select * from table where password ='"+sPassword+"'+" and name ='"+sName+"'"
执行这个sql语句怎么注入能成功?
...全文
请发表友善的回复…
发表回复
gwl1984 2008-01-19
- 打赏
- 举报
我不知道.通常防注入都是LZ那样的了...
yuling_xia 2008-01-19
- 打赏
- 举报
应该是不能的
yuling_xia 2008-01-19
- 打赏
- 举报
如果string sPassWord =yPassWord +" or 1=1 "呢？
yuling_xia 2008-01-19
- 打赏
- 举报
如果string sName = username + " -- "这样是否可以注入呢？
王集鹄 2008-01-19
- 打赏
- 举报
如果是网页上提交的，这样也许有嫌疑。
string sName = "%27";
string sName = "%27";
李洪喜 2008-01-19
- 打赏
- 举报
建议使用存储过程，传递参数，一般不会有太大问题。
mohugomohu 2008-01-19
- 打赏
- 举报
够了
