Mysql子查询,更新嵌入到select中?

你的成败取决于许多因素。您面临的第一个主要障碍是您的“朋友”是否足够聪明,能够使用PHP作为数据库输入并使用这行代码 mysql_real_escape_string 这将阻止您通过他的文本框和/或其他输入区域发送任何命令。

http://php.net/manual/en/function.mysql-real-escape-string.php

你确定之后的第二个主要障碍 用于确定要更新的表的真实名称。我个人从不把我真实的数据库名称暴露在网络上,我使用代表真实名称的伪名称。

查看此链接以获取更多有用的提示。除了测试我自己的MYSQL服务器的漏洞之外,我从来没有用过这些技术。

http://old.justinshattuck.com/2007/01/18/mysql-injection-cheat-sheet/