SQL-Testzeichenfolgen für Eingabeprüfung
Sonderzeichen wie Hochkomma, Semikolon und doppelte Bindestriche haben in SQL-Abfragen eine besondere Bedeutung. Die Seite zeigt gängige Testzeichenfolgen, etwa mit OR, UNION und gestapelten Anweisungen, sowie den bekannten Bobby-Tables-Text aus xkcd. Sie sind für das Prüfen der eigenen Anwendung gedacht: Eingaben sollten per Parameterbindung als reiner Text gespeichert und nicht als SQL ausgeführt werden.
14 Varianten auf einer Seite, jede mit eigenem Kopier- oder Download-Knopf.
SQL-Probe ' OR '1'='1
' OR '1'='1
Klassische Anführungszeichen-Probe für eigene Eingabevalidierung; sollte als reiner Text gespeichert werden. Testzeichenfolge für eigene Systeme.
SQL-Probe ' OR 1=1 --
' OR 1=1 --
Variante mit Zeilenkommentar. Testzeichenfolge für eigene Systeme.
SQL-Probe '; --
'; --
Beendet ein Literal und kommentiert den Rest. Testzeichenfolge für eigene Systeme.
SQL-Probe 1; SELECT 1
1; SELECT 1
Gestapelte Anweisung; Treiber ohne Multi-Statement sollten ablehnen. Testzeichenfolge für eigene Systeme.
SQL-Probe " OR ""="
" OR ""="
Variante mit doppeltem Anführungszeichen. Testzeichenfolge für eigene Systeme.
SQL-Probe ' UNION SELECT NULL--
' UNION SELECT NULL--
UNION-Probe zur Spaltenanzahl. Testzeichenfolge für eigene Systeme.
SQL-Probe admin'--
admin'--
Login-Umgehungs-Klassiker in ein Benutzernamenfeld. Testzeichenfolge für eigene Systeme.
Bobby Tables: Robert'); DROP TABLE Students;--
Robert'); DROP TABLE Students;--
Bekannter Webcomic-Scherz (xkcd 327); als Inertext zum Testen eigener Parameterbindung. Testzeichenfolge für eigene Systeme.
SQL-LIKE-Wildcards: 100% _ [a]
100% _ [a]
Zeichen %, _ und [ haben in LIKE-Mustern Bedeutung und müssen maskiert werden. Testzeichenfolge für eigene Systeme.
Ein einzelner Apostroph '
'
Der einfachste Test: erzeugt Syntaxfehler, wenn Eingaben nicht gebunden werden. Testzeichenfolge für eigene Systeme.
Zwei Apostrophe ''
''
Leeres SQL-Literal oder maskierter Apostroph. Testzeichenfolge für eigene Systeme.
Ein einzelner Backslash \
\
Escape-Zeichen in MySQL und vielen Sprachen. Testzeichenfolge für eigene Systeme.
Ein einzelner Backtick `
`
Bezeichner-Quote in MySQL; auch Shell-Kommandosubstitution. Testzeichenfolge für eigene Systeme.
Nachname O'Brien
O'Brien
Legitimer Name mit Apostroph: darf nie zu einem Fehler führen. Testzeichenfolge für eigene Systeme.