SQL Injection
Là một cách chèn đoạn lệnh SQL vào để thực hiện việc vượt qua sự kiểm tra của mệnh đề WHERE. Ví dụ một câu truy vấn lấy tài khỏa người dùng:
SELECT ID, NAME FROM USERS WHERE USERNAME='JONH' AND PASSWORD='1234'
Câu trên chỉ có thể đúng nếu thỏa cặp USERNAME và PASSWORD tồn tại trong cơ sở dữ liệu. Câu trên có thể viết injection như sau : thay cụm từ JONH thành : ' OR 1=1 or''=' (lưu ý ký tự nháy đơn ') khi đó câu SQL sẽ trở thành :
SELECT ID, NAME FROM USERS WHERE USERNAME='' OR 1=1 OR''='' AND PASSWORD='1234'
đoạn mã này hoạt động với bất cứ password nào.
Tệp tin tải về