木 易__yz的博客

原创 dvwa sql注入

dvwa sql注入 low 一、判断sql是数字型注入还是字符型注入 1.输入1 2.输入1’和1’# 输入1’ 报错 输入1’# 不报错 此处判断User ID是字符型的，在sql语句中有 ’ ’ 包裹。 3.检验是否可注入，输入1’ or 1=1# 1后面的 ’ 闭合了id字段，or 1=1 使得where判断语句失效，即使其恒为真，架空了id字段的作用，无论id输入什么，where总是真，所以爆出了表中所有人的姓名。#起到注释作用，注释后面的sql语句，主要是id字段后一个 ’ 。 注意