PHPマルチクエリを使用したSQLインジェクションDROP TABLE

Question

PHPでSQLインジェクションを使用してデータベース内にテーブルをドロップしようとしています。

PHPコードは、次のコマンドとmulti_queryの（$ sqlを）とデータベースにフォームを送信する：

$sql = "INSERT INTO Student (StdNumber, FName, LName, DOB, PhoneNumber) 
VALUES ('$input1', '$input2', '$input3', '$input4', '$input5')"; 

だから私は、SQLを注入するInput5のは、私ができる、と思いました。だから私を使用します。

');"; $sql .= "DROP TABLE IF EXISTS Student;";-- - 

これは、以前のSQLステートメントを閉じて、その後、私は「= SQL」で別のステートメントを開始し、私はそれの残りの部分をオフにコメント - -

しかしテーブルISN落ちる。私は私の注射コマンドをデータベースのinput5（PhoneNumber）内に見ていないので、私が信じる前の文を正常に終了しています。

私は何が間違っているのか分かりませんが、私は間違ってmulti_queryを使用していますか？または私の注射は間違っていますか？私はそれを受け入れ、データベースに別のエントリを作成し、フォームを送信すると、さらに ：

はあなたに

編集1ありがとうございます。

Answer 1

phpで生成されたsqlを操作しようとしていますが、PHP自体ではありません。

だから、あなたはあなたの第五入力するためにPHPを追加しないでください。同様にする必要が

1234567890'); DROP TABLE IF EXISTS Student; -- the rest here will be comments in sql