SQLインジェクション/ドロップテーブルが動作していないことを確認しました

Question

テーブル（ユーザー）を削除しようとすると、自分のサイトに対してSQLインジェクションをテストしようとしています。

私のSQL文字列構文：

String sql = "select * from users where username='" + username + "' and password='" + password + "';"; 

私は、パスワードフィールドにユーザ名フィールドでjackと test'; DROP TABLE users; --を入れて、次のSQL文字列を取得します：

select * from users where username='jack' and password='test'; DROP TABLE users; --'; をして、私はそれを実行します。

Statement st = conn.createStatement(); 
ResultSet rs = st.executeQuery(sql); 

しかし、それは機能していません、なぜか？

Answer 1

パスワードは次のようになります。

' OR 1=1; DROP TABLE users; -- 

1. 'は1=1あなたは結果を発見したことを確認します
2. パスワード文字列を閉じます。
3. --はEDIT

前のパスワードから最後'をコメントします：私はミスを犯した

。別のハックを考えていた。 1=1は、パスワードチェックをバイパスし、ログイン画面を渡すことです。 ' `クエリの最後にやって -

あなただけの私がどんな経験ハッキング/スプーフィングデータベースを持っていますが、`何をしていることを

'; DROP TABLE users; --