绕过过滤and和or的SQL注入

基础知识介绍 内联注释的语句会被当做sql语句执行 去除and和or的代码分析 上述代码意思就是将and和or字符串替换为空 参数/i意思是对大小写不敏感 即无论大小写都被替换 绕过去除and和or的SQL注入 输入id=1正确 id=1\错误 查看错误信息原sql语句应该是 id=‘id’ 当我们在输入id=1‘ --+正确 在输入id=1’ and 1=1–+ 错误 说明and被过滤了 输入O

>>阅读原文<<