спс попугай но все еще остался now())

You have an error in your SQL syntax; check the manual that corresponds to your
MySQL server version for the right syntax to use near '', now())' at line 2

попробуй пробелы поставить до и\или после двух тире, либо /* заюзай, или нульбайтом отрежь на крайний случай.

А вообще, похоже ошибка идет во втором запросе, видимо.

%23, #, /*.
1' order by 1,2,3,4,5,6,7,8,9,10,11,12 /*
1 order by 1,2,3,4,5,6,7,8,9,10,11,12 /*
С ковычкой без и т.п.

99% что это инсерт или апдейт. Крутить соответственно

Господа, есть варианты обхода экранирования ?)


statement := 'SELECT * FROM users WHERE name = ' + QuoteParam(userName) + ';';


function QuoteParam(s : string) : string;
{ на входе — строка; на выходе — строка в кавычках и с заменёнными спецсимволами }
var
i : integer;
Dest : string;
begin
Dest := '"';
for i:=1 to length(s) do
case s[i] of
'''' : Dest := Dest + '\''';
'"' : Dest := Dest + '\"';
'\' : Dest := Dest + '\\';
else Dest := Dest + s[i];
end;
QuoteParam := Dest + '"';
end;


+ к переменной можно добавить intval()

Как бы там кавычки не мешаються, name= dasjkhasdjkhsjkhasdkhkajh union select 1, etc...

как можно обойти фильтрацию на select? полей 4

http://www.alpharent.gr/gr/offers.php?id=1

pinch:

Какой функцией нужно делать поиск по БД?