твует много разговоров о том, что addlashes и функция mysql_real_escape не безопасны для предотвращения инъекций. Правда заключается в том, что даже большие фреймворки или CMS, такие как Wordpress, используют эти функции, и они до сих пор делают отличную работу.

Я знаю, что есть некоторые конкретные сценарии использования кодировки GBK, или utf8_decode может быть использован для вставки некоторого кода SQL, или несколько простых примеров, таких как1' OR 1 -- это может использоваться, когда есть простое, где вовлечено.

Однако после небольшого исследования кажется очень трудным внедрить что-либо в простой запрос с использованием addlashes или mysql_real_escape, если кодировка UTF-8, и давайте признаем, что это наиболее распространенный сценарий.

Итак, с учетом этого сценария новичка, pls предоставляют POC для инъекции SQL (помните кодировку UTF-8)

$mysql['username'] = addslashes($_POST['username']);
$mysql['password'] = addslashes($_POST['password']);

$sql = "SELECT *
FROM users
WHERE username = '{$mysql['username']}'
AND password = '{$mysql['password']}'";

Обновление - мне просто нужен простой пример, а не полное раскрытие процесса. Даже ссылка от Google может работать.