基礎知識介紹
內聯註釋的語句會被當做sql語句執行
去除and和or的代碼分析
上述代碼意思就是將and和or字符串替換爲空
參數/i意思是對大小寫不敏感
即無論大小寫都被替換
繞過去除and和or的SQL注入
輸入id=1正確
id=1\錯誤
查看錯誤信息原sql語句應該是
id=‘id’
當我們在輸入id=1‘ --+正確
在輸入id=1’ and 1=1–+ 錯誤
說明and被過濾了
輸入Or也被過濾了
但是輸入Anandd沒有報錯
即繞過了去除and和or的過濾機制
Sqlmap安全測試
