The tester has to make a list of al

The tester has to make a list of all input fields whose values could be used in crafting a SQL query,
including the hidden fields of POST requests and then test them separately,
trying to interfere with the query and to generate an error.
Consider also HTTP headers and Cookies.

The very first test usually consists of adding a single quote (')
or a semicolon (;) to the field or parameter under test.
The first is used in SQL as a string terminator
and, if not filtered by the application,
would lead to an incorrect query.

The second is used to end a SQL statement and, if it is not filtered, it is also likely to generate an error.
The output of a vulnerable field might resemble the following (on a Microsoft SQL Server, in this case):

ผลลัพธ์ (ไทย) 1:

เครื่องวัดที่มีการทำรายการของฟิลด์ป้อนข้อมูลทั้งหมดมีค่าสามารถนำมาใช้ในการสอบถาม SQL,
รวมเขตข้อมูลที่ซ่อนของการร้องขอการลงรายการบัญชี และจากนั้น ทดสอบพวกเขาต่างหาก,
พยายามรบกวนสอบถาม และสร้างข้อผิดพลาด
พิจารณายังส่วนหัว HTTP และคุกกี้

การทดสอบแรกมักประกอบด้วยการเพิ่มใบเสนอราคาเดี่ยว (')
หรือเครื่องหมายอัฒภาค () กับเขตข้อมูลหรือพารามิเตอร์ภายใต้การทดสอบ
ครั้งแรกใช้ใน SQL เป็นเทอร์มิเนเตอร์สาย
และ ถ้าไม่มีกรอง โดยใช้,
จะทำแบบสอบถามไม่ถูกต้อง

ที่สองจะใช้ในการสิ้นสุดคำสั่ง SQL และ ถ้ามันไม่ถูกกรอง มีแนวโน้มที่จะสร้างข้อผิดพลาด
การแสดงผลของฟิลด์ที่มีความเสี่ยงอาจมีลักษณะต่อไปนี้ (บน Microsoft SQL Server ในกรณีนี้):

ผลลัพธ์ (ไทย) 3:

ทดสอบต้องทำรายชื่อของทุกเขตข้อมูลที่มีค่าที่สามารถใช้ในการสร้างแบบสอบถาม SQL รวมทั้งเขตข้อมูลที่ซ่อนอยู่
, ขอโพสต์แล้วทดสอบพวกเขาแยกกัน
พยายามจะขัดขวาง ด้วยแบบสอบถามและการสร้างข้อผิดพลาด
พิจารณาส่วนหัว HTTP และคุกกี้

สอบครั้งแรกมักประกอบด้วย การเพิ่มราคาเดียว ( ' )
หรือเครื่องหมายอัฒภาค ( ;) สนามหรือพารามิเตอร์ในการทดสอบ
เป็นครั้งแรกที่ใช้ใน SQL เป็นสตริง Terminator
และถ้าไม่กรองโดยโปรแกรม
จะนำไปสู่คำถามที่ไม่ถูกต้อง

2 ใช้สิ้นสุด SQL งบ และ ถ้ามันไม่กรอง ก็มีแนวโน้มที่จะสร้างข้อผิดพลาด
ผลเขตเสี่ยงอาจมีลักษณะคล้ายกับต่อไปนี้บนเซิร์ฟเวอร์ SQL ของ Microsoft ในกรณีนี้ ) :