Injection SQL à l'aide de PHP multi_query à DROP TABLEAU

Question

J'essaie de supprimer une table dans une base de données en utilisant l'injection SQL via PHP.

Le code PHP soumet un formulaire à la base de données avec la commande suivante et multi_query ($ sql):

$sql = "INSERT INTO Student (StdNumber, FName, LName, DOB, PhoneNumber) 
VALUES ('$input1', '$input2', '$input3', '$input4', '$input5')"; 

Je pensais, je peux SQL Inject INPUT5. Donc, je l'utilise:

');"; $sql .= "DROP TABLE IF EXISTS Student;";-- - 

Cette ferme l'instruction SQL précédente, je commence une autre déclaration avec et je commente hors le reste avec - -

Cependant la table n « sql =. » ne pas tomber. Je ne vois pas ma commande d'injection dans input5 (PhoneNumber) dans la base de données, donc elle ferme avec succès la déclaration précédente, je crois.

Donc, je ne suis pas sûr de ce qui ne va pas, est-ce que j'utilise incorrectement multi_query? ou est-ce que mon injection est incorrecte?

Merci

Edit 1: De plus, lorsque je soumets la forme qu'elle accepte et fait une entrée dans la base de données.

Answer 1

Vous essayez de manipuler le sql qui est généré par le php, pas le php lui-même.

Vous ne devez pas ajouter php à votre entrée 5:

');"; $sql .= "DROP TABLE IF EXISTS Student;";-- - 

devrait être quelque chose comme:

1234567890'); DROP TABLE IF EXISTS Student; -- the rest here will be comments in sql