使用sql-injection创建数据库触发器而不进行堆栈查询

Question

目前正在研究一篇关于使用RFID标签进行sql注入的研究论文，如果有可能在禁用堆叠查询的情况下使用sql注入创建数据库触发器，我很好奇。如果启用了堆叠查询，那么当然很容易（假设你知道表格布局），但是出于安全原因它们被禁用了。

问题是是否可能 创建触发器，给出是否有SQL注入。数据库并不重要，选择一个符合需求的数据库。

Answer 1

正在寻找什么数据库？在PostgreSQL中，每个触发器都调用一个存储过程。在存储过程中，如果需要，可以execute dynamic queries。如果您不对SQL注入执行任何操作，而不使用quote_ident（）和/或quote_literal（），则您的过程很容易受到SQL注入攻击。这是你自己的选择。

用户输入永远不可信任，为什么担心RFID输入呢？这是输入，因此无法信任。