SQL注入测试

jack李

有哪位大侠玩的比较熟练的，加个skpy交流下 我的skpy:  jack__li

QqiaoQ

SQL注入：相当是破坏你的用户信息，测试点一般于登录界面上
如登录界面上需要输入用户名和密码
此时，在程序中的代码是这样的：
select * from 用户表 where Username=' +输入的用户名=' and Password=' +输入的密码+'
而此时，如果在用户名的文本框中输入：1' or '1'='1
把文本框中的内容代入Sql语句中即：Username='1' or '1'='1'
此时，尽管你输入的是错误的用户名，但后面跟上or语句判断，即：前面的判断不正确没有关系，可以采用后面的判断语句，如果后面的判断语句是正确的话，此判断成立，即二个判断条件只要有一个成立，此判断即为true
因此，如果系统没有防止Sql注入的话，那岂不是任何一个人都能进入到系统界面中，进行任意操作
此仅为我的意见，如有更好的理解或我理解有误，请及时指出，请多多交流，谢谢！