c# - 我可以在这个网站上进行sql注入(inject)吗

Question

关闭。这个问题需要多问 focused 。目前不接受答案。

---

想要改进此问题吗？更新问题，使其仅关注一个问题 editing this post .

已关闭 6 年前。

Improve this question

我正在尝试从网站数据库中获取批量数据，但无法成功。有人可以建议 SQL 注入(inject)是否可能以及在这种情况下该怎么做吗？

Answer 1

有很多方法可以对类似于您提供的网站进行 SQL 注入(inject)。

在 where 子句中，它需要 ac_no。我假设该值是作为用户输入从浏览器传递的。在这种情况下，您可以将 ac_no 值与 or 1 = 1 一起传递。例如，其中 ac_no = 123 或 1 = 1。它返回表 RollPdf1 中的所有内容。

对于字符串比较，您可以将 ""= "" 添加到 where 子句中。

如果您想执行其他select操作(如果您知道其他表名)，那么您可以附加由;分隔的select语句。

UNION 运算符:

如果您知道查询中所选列的数据类型，则可以使用 UNION 从其他表获取其他数据。

例如

  original query :  select  name, age, sex from table1 where id = 1

  sql injected query  :  select name, age, sex from table1 where id = 1 AND 1 = 2 UNION select username, id, password from userstable or someother table.