是否可以通过 SQL 注入从 MySQL 中的 INSERT/SELECT 语句启动 UPDATE/DELETE 语句？

Question

让我们采用以下易受攻击的查询（$id 未转义）：

SELECT * FROM table WHERE id = $id

在 MySQL 5.x 中是否有可能通过出现在 内部的 UPDATE 语句来修改某些数据黑客攻击了 SELECT 语句？

我考虑过使用 benchmark() 函数：

SELECT * FROM table WHERE id = id OR benchmark(1, (UPDATE ...))

但它似乎不起作用：

错误 1064 (42000)：您的 SQL 语法有错误；检查与您的 MySQL 服务器版本相对应的手册，了解在“UPDATE ...”附近使用的正确语法。

是否有其他不使用存储过程的可能性？

编辑：当然也不使用多个查询...

Answer 1

根据驱动程序的不同，这可能会通过：

SELECT * FROM table WHERE id = id; UPDATE table ...

Answer 2

多个查询。