SQL 匹配查询中的 SQL 注入
这个查询是否可以使用 sql 注入进行破解？
SELECT count(*) FROM mytable_fts where mytable_fts match ?
示例
SELECT count(*) FROM mytable_fts where mytable_fts match "a"
我尝试使用
SELECT count(*) FROM mytable_fts where mytable_fts match "a" OR 1==1
但它不起作用，因为它作为匹配参数。
任何机构都可以给出此查询的 SQL 注入示例吗？
Is this query hackable using sql injection ?
SELECT count(*) FROM mytable_fts where mytable_fts match ?
example
SELECT count(*) FROM mytable_fts where mytable_fts match "a"
I tried using
SELECT count(*) FROM mytable_fts where mytable_fts match "a" OR 1==1
but it didn't worked as it is going as match parameter.
can any body give example of sql injection on this query ?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
SQL 注入漏洞与查询本身关系不大，而与查询的构造方式有关。如果您使用查询变量而不是字符串连接，那就没问题了。如果您使用字符串连接，则任何带参数的查询都容易受到攻击。
SQL injection vulnerability has less to do with the query itself, than with how the query is constructed. If you use query variables instead of string concatenation, you will be OK. If you use string concatenation, then any query with parameters is vulnerable.