如何使用SQL注入更新表？

Question

如何使用SQL Injection 更新 MySQL数据库中的表？

我听说过如何在地址栏中输入查询，可以更新MySQL数据库中的表。但我不确定。

请给我一个专业人士的想法......

Answer 1

您可以尝试在表单中输入Robert'); DROP TABLE students; --：）

在上面的xkcd cartoon中，可能要求Bobby以一种形式填写他的名字，但他顽皮地插入Robert'); DROP TABLE students; --作为他的名字。现在想象一下，如果在此查询中使用了该输入：

SELECT * FROM students WHERE name = '$input'

正如你所看到的，如果我们用$input替换Bobby输入的内容，你就会得到这个

SELECT * FROM students WHERE name = 'Robert'); DROP TABLE students; --'

这是两个非常有效的SQL命令和注释。

您可能还想提前研究Stack Overflow questions on SQL Injection。