问SQL语法错误(SQL注入)

EN

试一试

 ';INSERT Table_Users (Username, Password) VALUES ('hejsan', 'glenn');

->您需要在Username=之后关闭'。在这种情况下，您甚至不需要密码字段的值。

您可以将--放在注入语句之后，以取消其余的select语句：

';INSERT Table_Users (Username, Password) VALUES ('hejsan', 'glenn');--

我的第一个想法是使用INSERT INTO Table_Users而不是INSERT Table_Users，但是正如海报上所指出的，INTO是可选的(在MSSQL中，与标准的INTO相比)。

再想一想，根据您的列的数据类型，查询可以按照What is the meaning of the prefix N in T-SQL statements?在值的前面添加N。

也许有什么引号吗？

var password = "';INSERT Table_Users (Username, Password) VALUES (''hejsan'', ''glenn''); select '";