2015-9-28 SQL注入攻击

标签：

SQL注入攻击实例

　　（1）SQL命令插入到Web表单的输入域  或   页面请求的查询字符串，欺骗服务器执行恶意的SQL命令

　　　　一个简单的登录页面

private bool NoProtectLogin(string userName, string password)
{
int count = (int)SqlHelper.Instance.ExecuteScalar(string.Format
       ("SELECT COUNT(*) FROM Login WHERE UserName=‘{0}‘ AND Password=‘{1}‘", userName, password));
return count > 0 ? true : false;
}

　　　　方法中userName和 password 是没有经过任何处理，直接拿前端传入的数据，这样拼接的SQL会存在注入漏洞。（帐户：admin  123456）

　　　　输入注入数据：用户名为：用户名：admin’—，密码可随便输入

http://www.cnblogs.com/heyuquan/archive/2012/10/31/2748577.html

2015-9-28 SQL注入攻击

标签：

原文地址：http://www.cnblogs.com/LingSWorld/p/4845009.html