Bobby Tables продолжает играть..

[dil]

Если кто не помнит, ещё в школе он играл так: https://xkcd.com/327/

А теперь вырос, и.. видать, он и зарегистрировал в Британии компанию под названием ; DROP TABLE "COMPANIES";–– LTD …

Via Bruсe Schneier

Оригинал этой записи в личном блоге.

Comments

[dil]

А зачем там скобка?

[ctapnep]

закрыть предыдущий statement.
обычно в коде есть что-то вроде insert into tablename values (a,b,c, '$var');
для нормального sql injection на место $var надо поставить некую строку вида
bla-bla'); drop table tablename;

Ну, в общем, скобка там нужна полсе закрывающей кавычки.

[dil]

Блин, таки склероз - плохая болезнь.. Я чё-то забыл, что в insert values всегда в скобках, почему-то подумал только про update ... where colname='$var';