轻松理解什么是 SQL 注入
发布网友
发布时间：2022-04-21 21:21
共1个回答
热心网友
时间：2022-04-07 16:52
所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。
举个简单的例子：
从理论上说，一个验证用户名和密码的功能，会有如下的SQL语句：
String sql = "select * from user_table where username=
' "+userName+" ' and password=' "+password+" '";
然后在这个语句的username=”后面注入 or 1=1 用户名等于 ” 或1=1 这个条件，上面的SQL语句变成：
SELECT * FROM user_table WHERE username=
'’or 1 = 1 -- and password='’
那么不用输入用户名和密码，就可以登陆了。
