Атака SQL-инъекции в предложении LIKE

Question

У меня есть файл, который выполняет запрос SQL:

SELECT * FROM items WHERE name LIKE "%<String Passed to It>%"

Я пытаюсь проверить базовую веб-безопасность здесь. Как я могу разбить этот запрос, чтобы удалить таблицу items, не используя spaces или semi-colons

Answer 1

Попробуйте установить значение:

'\ gDROP TABLE items \ g -

Вам нужно будет избежать этого апострофа.

Создание вас'Повторный запрос выглядит так:

SELECT * FROM items WHERE name LIKE '%'\gDROP TABLE items\g--%'

В mySQL \ g эквивалентно точке с запятой.Однако я не уверен, требуется ли интервал, поскольку у меня в настоящее время не настроена локальная установка mySQL, и я не знаю точно, какой язык и инфраструктуру вы используете для выполнения этого запроса.

Тем не менее, другие комментарии правы в том, что использование подготовленного оператора и параметров вместо построения строки SQL в коде - это способ предотвратить атаки SQL-инъекций.

См. здесь