如果过滤括号和分号,则进行SQL注入

Question

我有这样的声明:

SELECT * FROM TABLE WHERE COLUMN = 123456

123456由用户提供,因此它容易受到SQLi的攻击,但如果我删除所有分号和括号,黑客是否可以运行任何其他语句(如DROP,UPDATE,INSERT等)除外SELECT？

我已经在使用准备好的语句,但我很好奇,如果输入被删除了行终止符和括号,黑客能否以任何方式修改数据库？

Answer 1

使用sql参数.试图"消毒"输入是一个非常糟糕的主意.尝试谷歌搜索一些复杂的SQL注入片段,你不会相信黑帽子黑客是多么有创意.