预编译语法_sql注入技巧

预编译可以将一串命令提前编译成可执行文件

可以用于被过滤或检测到的字眼分割成几部分以越过检测

set @sentence_i_want_to_exec=concat('sel','ect * from table_a;');
prepare stmt from @sentence_i_want_to_exec;
EXECUTE stmt

第一步：

set @sentence_i_want_to_exec=concat('sel','ect * from table_a;');

将命令concat('sel','ect * from table_a;')赋给变量@sentence_i_want_to_exec

这里的命令即是连接sql语句，形成查表语句。

第二步：

prepare stmt from @sentence_i_want_to_exec;

编译命令，将命令编译后命名为新的可执行文件stmt

第三步：

EXECUTE stmt

运行可执行文件stmt