javascript - Node Mysql 库中的 SQL 注入(inject)

Question

我试图在 Node mysql库中进行一些sql注入(inject)。

我有一个用 Nodejs 编写的插入查询，使用方法是:

  pool.query(`Insert into orders(orderType,CustomerID,storeNumber,stageNumber) Values('${orderType}',${customerID},'${storeNumber}','${stageNumber}')`,function(err,rows,fields){
     if(err){
            console.log(err)
        }
        var orderID=rows.insertId
    }

所有变量都来 self 使用 req.body 接收的表单

在表单的 stageNumber 字段中，而不是我写的 storeNumber:

'); Delete from orderDetail;

这并没有从我的表中删除任何内容

从我的 console.log(err) 我得到

Error: ER_PARSE_ERROR: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'Delete from orderDetail;')'

我想不出删除')'的方法，但我知道它来自哪里。是否有可能在 Node MySQL 库中进行 SQL 注入(inject)？

Answer 1

你试过了吗

'); Delete from orderDetail; --

这将忽略任何字符后 - 并且在这种情况下应该理想地工作。