1
는 :
나는 SQL 주입 here에 대해 읽고 시도 그 다음 로그인 양식 :는 SQL 주입 XAMPP에서 PHP 5.2.6을 사용하여 시도 PHP 5.2.6
<html><body>
<form method='post' action='login.php'>
<input type='text' name='user'/>
<input type='text' name='pass'/>
<input type='submit'/>
</form>
</body></html>
및 PHP 코드 :
<?php
$user = $_POST['user'];
$pass = $_POST['pass'];
$query = "Select * from users where user='$user' AND pass='$pass'";
echo $query;
mysql_connect('localhost','root','');
mysql_select_db('test');
$res = mysql_query($query);
if($res) $row = mysql_fetch_assoc($res);
if($row) echo 'yes';
?>
내가 알아 낸 것은 $ pass 변수가 이미 모든 특수 문자를 이스케이프 처리했습니다. 그럼, mysql을 사용할 필요가 없습니다 ___ PHP 5.2.6에서 문자열을 탈출 하시겠습니까?