Hallo Allemaal,
Ik lees hele pagina's vol over SQL injections... Nu komt het.
Ik heb op localhost ff snel een form gemaakt met 1 veld, en deze input word gebruikt in een where clausule....
ik heb het volgende uitstaan in php.ini.
magic_quotes_gpc
magic_quotes_runtime
Dit zou naar mijn weten moeten voorkomen dat er backslashes worden geplaatst voor mijn quotes....
Dit trucje werkt in het input field....
x' OR 1=1#
en deze ook:
x' OR 'c' = 'c
Maar deze (Wat volgens het hele internet beweerd word dat zou moeten werken.....) werkt niet:
x' OR 'c' = 'c; DROP TABLE test; --
Bij bovenstaand krijg ik de welbekende error:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'DROP TABLE test; --'' at line 1
Er worden absoluut geen slashes toegevoegd waar dan ook.....
Ik heb MySQL 5.1
Nu word ik toch heel nieuwschierig waarom dit niet werkt....
Iemand een duidelijk uitleg... Ik heb ALLE tuts gelezen.....
Cheers
2.163 views