SQL注入（execute()之下）

最新推荐文章于 2025-06-19 20:28:08 发布

Bob drudgery

最新推荐文章于 2025-06-19 20:28:08 发布

阅读量4.8k

点赞数 1

CC 4.0 BY-SA版权

分类专栏： mysql

本文链接：https://blog.youkuaiyun.com/Bobdragery/article/details/90273880

mysql 专栏收录该内容

20 篇文章

订阅专栏

使用pymysql模块操作验证注册登陆时，字符串拼接易导致SQL注入问题，用户可绕开账户密码进入数据库。如利用mysql注释语法 '--' 可绕过密码或用户与密码验证。解决办法是让execute做字符串拼接，按pymysql规矩操作，去掉%s引号。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在用pymysql模块操作验证注册登陆的时候，涉及字符串拼接时容易出现明明账户密码不对的情况sql语句还是可以被执行，这样就导致用户可以绕开账户密码就能进入数据库。废话不说，看图：
在这里插入图片描述
sql代码为：

user = input('账户：').strip()
    pwd = input('密码：').strip()
    sql = 'select * from register where name = "%s" and pwd ="%s"' %(user,pwd)
    res = cursor.execute(sql)
    if res == 1:
     	print('登陆成功')
     	print(cursor.fetchall())
 	else:
     	print('登陆失败')

换另一种‘错误’的账号看结果：
在这里插入图片描述
上面’账户‘至少mcc还是正确的，再来一个’完全不沾边‘的账户

原因是什么呢？

根本原因在于mysql的注释语法 – ，上面的两张图显示了两种sql注入情况，第一种是用户存在，绕过密码，第二种情况用户不存在，绕过用户与密码

看一下第一种情况的sql语句：

select * from register where name = "mcc" -- sdadadf" and pwd =""

数据库中，-- 后的所有内容都被注释掉，即使再输入密码也是没用的，最后的sql语句是select * from register where name = “mcc”，这句sql语句可以被正确执行，也能查出mcc的结果

select * from register where name = "xxx" or 1=1 -- saddjna" and pwd =""

在数据库中，-- 后面的条件全部被注释掉，where 的过滤条件就剩name=“xxx” or 1=1,1=1显然永远成立，where的最终过滤条件就是True，sql执行的就是select * from register 。

解决方法
原来是我们对sql进行字符串拼接
sql=‘select * from register where name="%s" and password="%s"’ %(user,pwd)

res=cursor.execute(sql)

#改写为（execute帮我们做字符串拼接，我们无需且一定不能再为%s加引号了）

sql="select * from register where name=%s and password=%s"

#！！！注意%s需要去掉引号，因为pymysql会自动为我们加上
res=cursor.execute(sql,[user,pwd]) #pymysql模块自动帮我们解决sql注入的问题，只要我们按照pymysql的规矩来。