sqlite - jdbc sqlite 支持 allowmultiquery

Question

我想演示使用 Java 和 sqlite 的 SQL 注入。我正在尝试使用 SQL 注入同时执行两个查询。用户将使用 ; 提前结束语句，然后使用插入语句添加另一个条目。

Mysql JDBC 在连接字符串中使用 allowMultiQueries=true。

如何使用 sqllite 做到这一点？

TIA

Answer 1

allowMultiQueries作为 MySQL 特定的连接参数。

我不知道任何允许在一个查询中执行多个命令的 SQLite JDBC 驱动程序。因此，这种SQL注入攻击是不可能的。你最好的选择是构建一些这样的查询：

SELECT * FROM Users WHERE Name = 'admin'--' AND Password = 'whatever'

或这个：

SELECT *
FROM Users
WHERE Name = 'admin'
  AND Password = 'whatever' or Name='admin'