小编Dib*_*ran的帖子

你好,我正在测试我正在研究的网站.一些开发人员试图通过用双引号替换每个引号来避免SQL注入.这是C#代码:

string sql = 
  @"SELECT *
      FROM users
     WHERE us_username = '$us'
       AND us_password = '$pw'";    

sql.Replace("$pw", txtPassword.Text.Replace("'","''"));

有什么方法可以执行SQL注入攻击吗？我尝试了Unicode技巧,但它没有用.该数据库在SQL Server 2008R2上运行.