SQL注入举例（来自wiki）

weixin_33806914

于 2014-10-10 22:39:00 发布

阅读量137

点赞数

CC 4.0 BY-SA版权

原文链接：https://my.oschina.net/lfxu/blog/325867

本文解析了为何80%的码农难以成为架构师，并通过具体实例展示了SQL注入攻击的原理及危害，通俗易懂地揭示了黑客如何仅通过简单的字符串填充策略，绕过验证机制，实现无账号密码登录网站。文章深入浅出，让读者对SQL注入有了更直观的理解。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

某个网站的登录验证的SQL查询代码为

strSQL = "SELECT * FROM users WHERE (name = '" + userName + "') and (pw = '"+ passWord +"');"

恶意填入

userName = "'1' OR '1'='1'";

与

passWord = '"1' OR '1'='1'";

时，将导致原本的SQL字符串被填为

strSQL = "SELECT * FROM users WHERE (name = '1' OR '1'='1') and (pw = '1' OR '1'='1');"

也就是实际上运行的SQL命令会变成下面这样的

strSQL = "SELECT * FROM users;"

因此达到无账号密码，亦可登录网站。所以SQL注入攻击被俗称为黑客的填空游戏。

转载于:https://my.oschina.net/lfxu/blog/325867