SQL-инъекция с несколькими операторами отключена?

Question

Я тестирую SQL-инъекцию.У меня есть запрос:

SELECT * FROM testTable WHERE testVar='<USER INPUT HERE>';

Я отключил несколько операторов в одной строке.Есть ли способ, которым злоумышленник может вставить туда ОБНОВЛЕНИЕ или УДАЛЕНИЕ и уничтожить мои данные?

ПРИМЕЧАНИЕ.Однако я хотел бы знать обо всех возможностях.

Answer 1

даже если вы отключили многострочные операторы, что если ваш пользовательский ввод выглядит как

a' OR 1=1; '

Полагаю, это выберет все строки.

ваш запрос станет

SELECT * FROM testTable WHERE testVar='a' OR 1=1 ;'';

Answer 2

Они могут, если вы не правильно экранировали кавычки при вводе пользователем