为什么SELECT'a'='b'='c'在MYSQL中返回1？

Question

我正在为涉及SQL注入的安全类做一些功课。 我发现我可以做一个比典型的' OR '1'=1示例更短的SQL注入。 相反，我可以'=' 。 输入这个是在典型登录框的密码字段中给出一个SQL查询，如下所示：

SELECT * FROM Users WHERE username='user' AND password=''='';

事实证明， password=''=''计算结果为1 ，允许SQL注入工作。

做了一些测试后，我看到如果我测试一个字符串是否等于0，它返回1：

SELECT 0='a';

所以在我的例子中， password=''将评估为0而0=''将最终评估为1。

我的测试向我展示了这是如何发生的，但我想知道为什么会发生这种情况（即为什么0='a'真的？

Answer 1

Mysql看到比较并将字符串转换为整数，但这导致一个无效的整数，所以它将其转换为0. 0 = 0所以它的真（1）

Answer 2

如表达式评估中的类型转换所述，字符串和整数之间的比较将以数字方式执行：

• 在所有其他情况下，参数被比较为浮点（实数）。

因此，操作数将转换为浮点数，然后进行比较。

将字符串转换为float将考虑遇到第一个非数字字符的每个数字字符（以及第一个句点或取幂字符）。 因此'hello'或'a'将被截断为'' （从而转为零），而'123.45e6foo789'将截断为'123.45e6' （从而转换为123,450,000）。

因此可以看出0='a'是如何成立的：它被比较为0=0 。

password=''=''是真的（ 假设 password是非空字符串，或非零数字），因为第一次比较导致零（假），这迫使第二次比较以数字方式执行（因此将''转换为零以与第一次比较的零结果进行比较）。

Answer 3

对于SELECT 0 ='a'，0 ='';

1. type of 0 is int 
2. type of 'a' is char  then CAST( 'a' AS UNSIGNED ) or CAST( '' AS UNSIGNED ) will be 0

将char转换为int然后0 = 0在您的情况下评估为true 1.在：

select 'A'='a', 0=0, '0'='a',0='a1';

所有列都是真的，但是对于：

select 0='1a';

将为false，因为CAST（'1a'AS UNSIGNED）为1。

mysql> SELECT 'asadsadsa' = 'a', 0 = 'az', cast( 'az' AS unsigned ) , 'asadsadsa' = 'a' = 'az', 0 =0;
      +-------------------+----------+--------------------------+--------------------------+------+
      | 'asadsadsa' = 'a' | 0 = 'az' | cast( 'az' AS unsigned ) | 'asadsadsa' = 'a' = 'az' | 0 =0 |
      +-------------------+----------+--------------------------+--------------------------+------+
      |                 0 |        1 |                        0 |                        1 |    1 |
      +-------------------+----------+--------------------------+--------------------------+------+
      1 row in set, 3 warnings (0.00 sec)

      Warning (Code 1292): Truncated incorrect DOUBLE value: 'az'
      Warning (Code 1292): Truncated incorrect INTEGER value: 'az'
      Warning (Code 1292): Truncated incorrect DOUBLE value: 'az'