SQL数字.字符型漏洞注入再现

当应用程序使用输入内容来构造动态sql语句以访问数据库时，会发生sql注入攻击。当服务器将获得的客户端输入值并没有做任何处理直接拼接到查询语句中去访问数据库，输入端可以利用诸如逻辑运算符等使返回值永远为真达到欺骗服务器形成恶意的SQL语句 例如， 输入’1’时返回值为真，当输入’1’ or ‘1’='1’时，由于’1’为真，‘1’='1’永远为真，通过逻辑or运算时返回值也永远为真，那么此时视作输

>>阅读原文<<