php变量及sql注入问题

Question

在sqli-labs练习sql注入时，不太明白这里uname和passwd变量的使用，可以帮忙解答一下吗？看了一下教程需要使用双引号闭合，为什么？

    // connectivity
    $uname='"'.$uname.'"';
    $passwd='"'.$passwd.'"'; 
    @$sql="SELECT username, password FROM users WHERE username=$uname and password=$passwd LIMIT 0,1";
    $result=mysql_query($sql);
    $row = mysql_fetch_array($result);

    if($row)
    {
          //echo '';    
          
          echo "
";
        echo '';
        //echo " You Have successfully logged in " ;

Answer 1

我建议你看看我的第一篇博客

Answer 2

可以解释一下 $uname='"'.$uname.'"';是什么意思吗？

Answer 3

点表示php中的连接符号
mysql里面有两种数据形式 数字 字符串
字符串需要引号包裹
$uname=' " '.$uname.' " ';
就是让这个变量让双引号包裹
语句就变成了
SELECT username, password FROM users WHERE username=“$uname” and password=“$passwd” LIMIT 0,1;

Answer 4

好的，谢谢