这句Sql语句会被如何攻击？

[lsd123]

Sql语句：
 string productName=something value
 string strSql=string.Format("select * from MyTable where ProductName like '%{0}%'",productName)

 注：MyTable 是普通产品表

[長胸為富]

只听说过注入攻击，不知道LZ这怎么能攻击。

[lsd123]

[Quote=引用 11 楼 perfectaction 的回复:]
Format是啥..
[/Quote]

是个字符串链接函数，相当于+

[lsd123]

[Quote=引用 9 楼 szx1999 的回复:]
C# codestringproductName="';Drop table MyTable;select '"
[/Quote]
看来很危险

[echoxue]

学习

[hery2002]

拼接字符串都会有这样的问题的.
所以还是建议看看怎么防止攻击的.
多做准备.

[lsd123]

[Quote=引用 9 楼 szx1999 的回复:]
C# codestringproductName="';Drop table MyTable;select '"
[/Quote]

如果我的Sql语句后面再加个条件，
如"select * from MyTable where ProductName like '%"+ProductName +"%' and 1=1"
这样会被如何攻击？

[等不到来世]

[Quote=引用 18 楼 lsd123 的回复:]
引用 9 楼 szx1999 的回复:
C# codestringproductName="';Drop table MyTable;select '"



SQL code如果我的Sql语句后面再加个条件，
如"select * from MyTable where ProductName like '%"+ProductName +"%' and 1=1"
这样会被如何攻击？
[/Quote]

大同小异，只要能拼成一串可执行的代码就行。

string productName="';Drop table MyTable;select 1 where ''='"

[等不到来世]

sql注入五花八门，LZ想简简单单就解决不太可能。
sql版精华贴里面有这方面的讨论，可以看看。

常规的预防方法就是：
1.做严格的参数检查
2.过滤掉危险字符

[lsd123]

谢谢

[ysycysyc]

学习

[htl258_Tony]

string productName="';Drop database dbname;--"

[lsd123]

[robake]

哇噻，这个贴子来的高手也太多了吧。

[sparklerl]

Mark

[zhengzeng]

string productName=" ';"+你要执行的任何操作语句+";--";
string strSql=string.Format("select * from MyTable where ProductName like '%{0}%'",productName)

[usher_gml]

帮顶..

[haotian0317]

语句有什么好攻击的...??

[让你望见影子的墙]

看看精华帖的注入专题

[wanshichen]

string productName=" ';"+你要执行的任何操作语句+";--";


是啊，这样就太恐怖了……

[lsd123]