SQL Hack

[elexis_linux]

Code: Alles auswählen

'; create table fabio(id integer); --

oder

Code: Alles auswählen

"; create table fabio(id integer); --

Dies kann umgangen werden, wenn addslashes in dem Query verwendet wird. Zb:

Code: Alles auswählen

SELECT c_id as id, c_name as name FROM crack" . ((isset($_GET["search"])) ? " WHERE c_name LIKE '%" . addslashes($_GET["search"]) . "%'" : ""));