0

Можно ли сделать sql инъекцию к этому запросу? И как, например? В переменную $text

SELECT * FROM `test` WHERE `param` LIKE '%".$text."%' AND `id` != 1
8
  • 1
    Можно, разрешаем
    – andreymal
    Commented 9 июн. 2022 в 21:24
  • «И как, например?» — $text = "' OR 1=1; --"
    – andreymal
    Commented 9 июн. 2022 в 21:24
  • Спасибо. А как выполнить какой-либо другой запрос? Например UPDATE test SET param = 1 Commented 9 июн. 2022 в 21:33
  • В общем случае - никак, базовые методы и в PDO и в mysqli не позволяют выполнять несколько запросов в одной строке.
    – u_mulder
    Commented 9 июн. 2022 в 21:51
  • 1
    @u_mulder в простейшем варианте как раз получается. PDO из коробки выполняет несколько запросов. Попробуйте (я конечно уже попробовал): дефолтный пхп с PDO, два запроса через точку с запятой -- оба выполнятся. Когда-то так было нельзя, а вот потом стало можно. Commented 10 июн. 2022 в 8:31

1 ответ 1

1

В общем случае вы должны поместить в $text такой текст, конкатенация которого в ваш запрос превратит его в новый. Можно поменять условия WHERE, можно выбрать что-то из другой таблицы через UNION, можно поставить точку с запятой и дропнуть всю базу.

$text = "';update `test` set `param` = 1 where 1;--";
SELECT * FROM `test` WHERE `param` LIKE '%';update `test` set `param` = 1 where 1;--%' AND `id` != 1
2
  • И ещё полезный момент. LIKE-шаблоны надо дополнительно экранировать. Если текст шаблона содержит всякие %, _, то результат может получиться неожиданный. Commented 10 июн. 2022 в 0:21
  • Тогда уж не стоит останавливаться на полумерах! Следует делать запросы с параметрами!
    – Sergey
    Commented 10 июн. 2022 в 0:29

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.