杨老师讲 1' or '1'='1可以绕过验证,我试验的时候没有出现登陆成功的效果

后来发现,我在拼接字符串的时候用的是String.Format

String.Format  也可以达到与参数赋值同样的效果吗?

应该可以 你试一试。

郑文 发表于 2011-11-6 13:25
应该可以 你试一试。

{:2_34:}就是因为我用了String.Format没绕过验证,所以才问的.....

应该是不可以的
String.Format("SELECT * FROM WHERE UserName='{0}'","1' OR '1'='1")其返回的的是
SELECT * FROM WHERE UserName='1' OR '1'='1'是可以绕过的啊

DotNet菜鸟 发表于 2011-11-7 09:45
应该是不可以的
String.Format("SELECT * FROM WHERE UserName='{0}'","1' OR '1'='1")其返回的的是
SELECT ...

关键是我没绕过去....你试试

DotNet菜鸟 发表于 2011-11-7 09:45
应该是不可以的
String.Format("SELECT * FROM WHERE UserName='{0}'","1' OR '1'='1")其返回的的是
SELECT ...

关键是我没绕过去....你试试