我正在尝试使用Firefox上的Tamper Data插件来完成SQL注入 . 我提供了一个为此目的准备的网站，我需要做的是填写用户名和密码字段以及要登录的相应字符串 .
首先，我仔细检查了“魔术引号gpc”是否关闭 . 之后，我将以下行写入用户名和密码;
test' or '1=1
但是，我仍然无法登录系统 . 知道为什么会这样吗？
这是sql的php代码;
$sql = "SELECT user_id, username, user_password, user_active, user_level, user_login_tries,
user_last_login_try FROM " . USERS_TABLE . " WHERE username = '" . $username . "'";
2 回答
如果没有为你做功课，那就很难回答 .
尝试使用普通用户名写下您在提交时正在执行的查询的查询，然后使用您的用户名写下查询 .
语法仍然有效吗？
“SQL注入”命令必须（通常）仍然是有效的SQL .
这取决于SQL的编写方式 . 如果你知道，那就发布吧 . 如果不这样做，那么继续尝试不同的攻击方法，对数据库和SQL查询做出不同的假设是你的工作，直到你进入 .
我也想拍它 . 地址是什么？
EDIT: 现在已经发布了SQL，我建议OP为攻击添加LIMIT子句 . 此外，将第二个引号
'字符移动到更好的位置（您仍需要考虑SQL语句的结束引用） .