[SQL INJECTION] where and or 기준 정리

기준 : mysql

 

LOS orc 문제 중 궁금하여 정리하는 문서이다

 

mysql의 where을 사용할 때에는 뒤에 조건을 설정한다

 

ex)

위의 결과는 id가 test인 id를 가져온다

 

 

 

and를 사용하면 두 가지 이상의 조건을 모두 만족하는 id를 가져온다

 

ex)

 

or을 사용하면 두 가지 조건 중 하나라도 만족하면 id를 가져온다

 

 

and 와 or을 혼합해서 사용할 경우 or을 기준으로 좌측을 만족하거나 우측을 만족하는 결과가 출력된다

 

 

즉, 다음과 같이 동작된다

 

 

 

 

 

위와 같이 length(pw)=4는 pw길이가 4인 모든 id를 다 가져온다

 

 

위의 쿼리는 다음과 같이 동작되며 or 뒤의 length(pw)=5는 pw의 길이가 5인 id를 가져온다

 

즉 특정 id에 대한 pw에 접근하고 싶다면 다음과 같이 접근하여야 한다

 

 

이를 orc 문제에 적용시키면 아래는 비밀번호가 4자리인 모든 결과가 나온다

 

 

즉, 아래와 같이 id='admin'인 조건이 필수적으로 들어가야한다

 

 

 

비밀번호가 4자리인 친구는

 

id : guest

pw: djfk

 

가 존재한다

 

비밀번호 4자리인 친구가 이 친구말고 다른친구가 더 있는지 아닌지는 알 수 없다

 

 

끝