ASP.NET - SQL Injection

*sql문에 where절에 id, pwand 연산으로 했을 때의 and 무효화

 

1. where and 연산

2. 사용자의 sql 입력(Password 아무거나 입력 가능)

3. sql문에 오류 발생

3-1 id가 1번이 아닌 경우 '1' ##이 되기 때문에 뒤에 '1'뒤에 있는 구문은 주석처리가 된다

3-2 1번 사용자로 로그인이 성공 된다

 

*보안 방법

1. sql의 and 하지 않는다

2. 검색된 결과로 Password를 확인한다