pymysql的使用及sql注入

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了pymysql的使用及sql注入，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含6972字，纯文字阅读大概需要10分钟。

内容图文

pymysql简介

pymysql是python操纵mysql的一个模块，本质上是一个socket客户端

pymysql使用

准备数据

#创建数据库db2,如果已存在，请忽略
CREATE DATABASE db2 DEFAULT CHARACTER SET utf8;
#创建用户表
CREATE TABLE `userinfo` (
  `id` int(10) unsigned NOT NULL AUTO_INCREMENT COMMENT 'id',
  `username` varchar(20) NOT NULL COMMENT '用户名',
  `password` varchar(32) NOT NULL COMMENT '密码',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8 COMMENT='用户表';

#插入一条数据
INSERT INTO `db2`.`userinfo` (`id`, `username`, `password`) VALUES ('1', 'helln', '123');

实现

使用Python实现用户登录，如果用户存在则登录成功（假设该用户已在数据库中）

#导入模块
import pymysql

user = input('请输入用户名：')
pwd = input('请输入密码：')

# 1.连接
conn = pymysql.connect(host='127.0.0.1', port=3306, user='root', password='', db='db2', charset='utf8')

# 2.创建游标
cursor = conn.cursor()

# 注意%s需要加引号
sql = "select * from userinfo where username='%s' and password='%s'" % (user, pwd)
print('sql语句:',sql)

# 3.执行sql语句
cursor.execute(sql)

result = cursor.execute(sql)  # 执行sql语句，返回sql查询成功的记录数目
print('返回记录数:',result)

# 关闭连接，游标和连接都要关闭
cursor.close()
conn.close()

if result:
    print('登陆成功')
else:
    print('登录失败')

演示

输入正确用户名和密码

请输入用户名：helln
请输入密码：123
sql语句: select * from userinfo where username='helln' and password='123'
返回记录数: 1
登陆成功

输入错误时

请输入用户名：helln
请输入密码：234
sql语句: select * from userinfo where username='helln' and password='234'
返回记录数: 0
登录失败

sql注入

sql注入有两种形式：用户名存在绕过密码、用户不存在绕过用户名和密码

用户名存在绕过密码

格式

存在的用户名' -- 任意字符
或者
存在的用户名' #任意字符

测试‘--

请输入用户名：helln' -- skdjfskdf
请输入密码：sdf
sql语句: select * from userinfo where username='helln' -- skdjfskdf' and password='sdf'
返回记录数: 1
登陆成功

pymysql的使用及sql注入 - 文章图片

测试‘ #

请输入用户名：helln' #lsjefls
请输入密码：woieurweio
sql语句: select * from userinfo where username='helln' #lsjefls' and password='woieurweio'
返回记录数: 1
登陆成功

pymysql的使用及sql注入 - 文章图片

在navicat中可以看到-- 和#后面的都被注释掉了，所以只有username=‘helln‘起作用，自然也就能够查询到结果

用户名不存在，绕过用户名和密码

格式

任意用户名' or 1=1 -- 任意字符
或者
任意用户名' or 1=1 #任意字符
或者
任意用户名' or '任意字符'='任意字符

注意:

用户名后面有一个单引号
or前后都有空格
必须保证等式成立

测试

请输入用户名：sfhgk' or 1=1 -- sfjeor
请输入密码：vnxlngf' or 2=2 #sdfwer
sql语句: select * from userinfo where username='sfhgk' or 1=1 -- sfjeor' and password='vnxlngf' or 2=2 #sdfwer'
返回记录数: 1
登陆成功

sql注入的本质是(通过注释)构造恒为真的表达式绕过验证

解决办法

原来我们是用字符串拼接做的

sql="select * from userinfo where name='%s' and password='%s'" %(username,pwd)
print(sql)
result=cursor.execute(sql)

将上面的语句改为下面这样，注意一定不要再加引号了

#改写为（execute帮我们做字符串拼接，我们无需且一定不能再为%s加引号了）
sql="select * from userinfo where name=%s and password=%s" #！！！注意%s需要去掉引号，因为pymysql会自动为我们加上
result=cursor.execute(sql,[user,pwd]) #pymysql模块自动帮我们解决sql注入的问题，只要我们按照pymysql的规矩来。

commit()提交

在数据库里增、删、改的时候，必须要进行提交，否则插入的数据不生效。

增

#导入模块
import pymysql

user = input('请输入用户名：')
pwd = input('请输入密码：')

# 1.连接
conn = pymysql.connect(host='127.0.0.1', port=3306, user='root', password='', db='db2', charset='utf8')

# 2.创建游标
cursor = conn.cursor()

sql = "insert into userinfo(username,password) values (%s,%s)"
print('sql语句:',sql)

# 3.执行sql语句,返回sql查询成功的记录数
#同时插入多条数据
result = cursor.executemany(sql,[(user+'1',pwd),(user+'2',pwd)])
print('返回记录数:',result)

#一定记得commit
conn.commit()

# 关闭连接，游标和连接都要关闭
cursor.close()
conn.close()

#判断结果
if result:
    print('ok')
else:
    print('error')

改

#!/usr/bin/env python
# -*- coding: utf-8 -*-
#导入模块
import pymysql

user = input('请输入用户名：')
pwd = input('请输入密码：')

# 1.连接
conn = pymysql.connect(host='127.0.0.1', port=3306, user='root', password='', db='db2', charset='utf8')

# 2.创建游标
cursor = conn.cursor()

sql = "update userinfo set username = %s  where id = '8'"
print('sql语句:',sql)

# 3.执行sql语句,返回sql查询成功的记录数
#修改一条数据
result = cursor.execute(sql,user)
print('返回记录数:',result)

#一定记得commit
conn.commit()

# 关闭连接，游标和连接都要关闭
cursor.close()
conn.close()

#判断结果
if result:
    print('ok')
else:
    print('error')

删

#!/usr/bin/env python
# -*- coding: utf-8 -*-
#导入模块
import pymysql

#删除不需要执行这2个input了
# user = input('请输入用户名：')
# pwd = input('请输入密码：')

# 1.连接
conn = pymysql.connect(host='127.0.0.1', port=3306, user='root', password='', db='db2', charset='utf8')

# 2.创建游标
cursor = conn.cursor()

sql = "delete from userinfo  where id = '2'"
print('sql语句:',sql)

# 3.执行sql语句,返回sql查询成功的记录数
#删除一条数据
result = cursor.execute(sql)
print('返回记录数:',result)

#一定记得commit
conn.commit()

# 关闭连接，游标和连接都要关闭
cursor.close()
conn.close()

#判断结果
if result:
    print('ok')
else:
    print('error')

查

查有三种:fetchone()、fetchall()和fetchmany

fetchone()：获取下一行数据（第一次使用时是首行），返回值是一个元组

#导入模块
import pymysql

# 1.连接
conn = pymysql.connect(host='localhost', port=3306, user='root', password='', db='db2', charset='utf8')

# 2.创建游标
cursor = conn.cursor()

sql = 'select * from userinfo'
cursor.execute(sql)

# 查询第一行的数据
row = cursor.fetchone()
print(row) # (1, 'helln', '123')

# 查询第二行数据
row = cursor.fetchone()
print(row) # (6, 'sophia', '123')

# 4.关闭游标
cursor.close()

# 5.关闭连接
conn.close()

在fetchone示例中，在获取行数据的时候，可以理解开始的时候，有一个行指针指着第一行的上方，获取一行，它就向下移动一行，所以当行指针到最后一行的时候，就不能再获取到行的内容，所以我们可以使用如下方法来移动行指针：

cursor.scroll(1,mode='relative')  # 相对当前位置移动，整数向下移动，负数向上移动
cursor.scroll(2,mode='absolute') # 相对绝对位置移动

fetchall(): 获取所有数据，返回值是元组套元组

#导入模块
import pymysql

# 1.连接
conn = pymysql.connect(host='localhost', port=3306, user='root', password='', db='db2', charset='utf8')

# 2.创建游标
cursor = conn.cursor()

sql = 'select * from userinfo'
cursor.execute(sql)

# 获取所有的数据
rows = cursor.fetchall()
print(rows)

# 4.关闭游标
cursor.close()

# 5.关闭连接
conn.close()

默认情况下，我们获取到的返回值是元组，只能看到每行的数据，却不知道每一列代表的是什么，这个时候可以使用以下方式来返回字典，每一行的数据都会生成一个字典：

cursor = conn.cursor(cursor=pymysql.cursors.DictCursor)  #在实例化的时候，将属性cursor设置为pymysql.cursors.DictCursor

fetchmany(): 获取多行记录，括号内的参数为获取的行数

#导入模块
import pymysql

# 1.连接
conn = pymysql.connect(host='localhost', port=3306, user='root', password='', db='db2', charset='utf8')

# 2.创建游标
cursor = conn.cursor(cursor=pymysql.cursors.DictCursor)

sql = 'select * from userinfo'
cursor.execute(sql)

# 获取2条数据
rows = cursor.fetchmany(2)
print(rows)

# 4.关闭游标
cursor.close()

# 5.关闭连接
conn.close()

pymysql的使用及sql注入

标签：使用 utf8 nec database 忽略 else 插入用户 ble

本文系统来源：https://www.cnblogs.com/zzliu/p/10662720.html

内容总结

以上是互联网集市为您收集整理的pymysql的使用及sql注入全部内容，希望文章能够帮你解决pymysql的使用及sql注入所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/505792.html

来源：【匿名】

【上一篇】关于mysql的报错的1366 【下一篇】用IE远程创建Mysql数据库的简易程序

更多 ►

【pymysql的使用及sql注入】教程文章相关的互联网学习教程文章

安装pip3 install PyMySQL或者python3 -m pip install PyMySQL连接MySQL数据库注意：连接之前先确保你已经安装MySQL数据库MYSQL_CONFIG = {‘host‘: ‘localhost‘, # IP地址‘port‘: 3306, # 端口‘user‘: ‘root‘, # 用户名‘passwd‘: ‘123456‘, # 密码‘db‘: ‘myclass‘, # 数据库‘charset‘: ‘utf8‘, # 编码 }conn = pymysql.connect(**MYSQL_CONFIG) # 数据库连接 cur = conn.cursor() # 游标对象 MYSQL_...

爬取维基百科人物介绍,并使用pymysql存储到数据库【代码】【图】

代码如下:from urllib.request import urlopen from bs4 import BeautifulSoup import re import datetime import random import pymysql.cursors# Connect to the database connection = pymysql.connect(host=‘127.0.0.1‘,port=3306,user=‘root‘,password=‘数据库密码‘,db=‘scraping‘,charset=‘utf8mb4‘,cursorclass=pymysql.cursors.DictCursor)cur = connection.cursor()random.seed(datetime.datetime.now())def st...

django pymysql总是报错module 'MySQLdb.constants.FIELD_TYPE' has no attribute 'JSON'【代码】

具体什么原因我也没找到,我介绍下我的做法1. 　　重新配置一个纯净的虚拟环境,安装需要的依赖环境2.　　重启pycharm3.　　安装pymysql遇到了版本低的问题,我参照网上的方法　　https://blog.csdn.net/knight_zhou/article/details/108576312　　解决了问题,此处简单记录下找到对应的 import pymsql 所在的文件,并如下替换import pymysql pymysql.version_info = (1, 4, 13, "final", 0) pymysql.install_as_MySQLdb() ' has no att...

pymysql使用【代码】

pymysql安装pip install pymysql基本使用1.创建数据库链接connect = pymysql.connect(host=‘localhost‘,port=3306,user=‘root‘,password=‘123456‘,database=‘autotest‘ )2.创建游标sql语句的执行在代码中必须通过游标来进行，所以先要创建游标对象；cur = connect.cursor()3.通过execute()函数执行sql语句；cur.execute("select * from user_info;")4.读取操作# 读取一行数据 value = cur.fetchone() print(value) # 当再次...

python3操作PyMySQL笔记【代码】

python3操作mysql需要先安装PyMySQLpip install PyMySQL在linux登录mysql ，并且在安装数据库时设置了数据库的用户名“root”和密码“root”，mysql安装的版本为mysql5.7[root@web ~]# mysql -uroot -p -h192.168.10.100在mysql里面创建一个mysql库mysql>createdatabase mrsoft; Query OK, 1 row affected (0.00 sec)下面是新建一个py文件远程创建一个mysql连接，下面通过connect()方法连接MySQL数据库mrsoft，具体代码如下：impor...

python---pymysql【代码】

pymysql是Python中操作MySQL的模块，其使用方法和MySQLdb几乎相同。2.7用MySQLdb，3.0用pymysql。#下载安装 pip3 install pymysql使用执行SQL#!/usr/bin/env python # -*- coding:utf-8 -*- import pymysql# 创建连接 conn = pymysql.connect(host=‘127.0.0.1‘, port=3306, user=‘root‘, passwd=‘123‘, db=‘t1‘) # 创建游标 cursor = conn.cursor()# 执行SQL，并返回收影响行数 effect_row = cursor.execute("update hosts...

pymysql连接mysql报错【图】

环境：windows10+Python3.6安装Python下载路径：https://www.python.org/downloads/windows/ 选择自己的版本直接安装，然后配置环境变量650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108091618682.jpg" title="1.png" />3.安装pymysql 这里我是直接用pip安装的，命令： pip install pymysql4.连接数据库 import pymysql# 打开数据库连接db = pymysql.connect("localhost","develop","5tgb^YHN","test" )...

pymysql连接提示format: a number is required, not str【代码】【图】

最近想随手写一个简单的员工管理系统，第一次使用python连接数据库，在这个过程中就遇到了一些问题，遂记录遇到问题习惯性百度一下，很多教程都不适合新手，有些还不知道是不是瞎写的，所以我觉得有必要自己写出来。上面的错误就是说这个port或者主机的值应该是非字符串，于是我试着在变量后面加上intport(int)=‘3309‘结果提示：也就是这个语法是错误的，所以只能换一种方法。connect = pymysql.Connect(host=‘localhost‘...

pymysql的使用心得（1）------小细节，注意！【代码】

最近一段时间开始使用MySQL，使用的是pymysql库。其中遇到过一些小问题，值得记录一下，以便今后使用的时候注意到。表格的建立，代码如下：cursor.execute("create table %s(id char(100))" % tb_name)# 这样写可能报错其中tb_name就是自己定的表格名称，在使用过程中发现，当表格名称的字符串中带有‘-‘的时候（如test-abc），会报错，似乎是‘-‘在MySQL代码中有特殊意义所以让程序误以为这是一个命令。同样的，如果表格的名称与...

pymysql【代码】

一、pymysql　　pymsql是Python中操作MySQL的模块，其使用方法和MySQLdb几乎相同，我们今天来说下pymsql用法。MySQLdb的只有在python2 里面使用的，在python3里面需要用pymysql。二、安装pymysqlpip3 install pymysql 三、使用3.1 连接mysql# -*- coding: UTF-8 -*-import pymysql# 创建连接 conn = pymysql.connect(host=‘172.16.200.49‘, port=3306,user=‘bigberg‘, password=‘111111‘,db=‘study‘)# 创建游标 cursor = ...

Python中pymysql基本使用【代码】

Python中pymysql模块通过获取mysql数据库命令行游标执行数据库命令来进行数据库操作　　优点：操作数据库语句所见即所得，执行了什么数据库语句都很清楚　　缺点：操作繁琐，代码量多 1. pymysql的基本使用# -*- coding:utf-8 -*- # Author:Wong Duimport pymysql# 创建链接，相当于建立一个socket conn = pymysql.Connection(host=‘10.0.0.100‘, port=3306, user=‘root‘, passwd=‘123456‘, db=‘testdb‘)# 建立游标，相当...

pymysql【代码】

a:link {color: #000000;text-decoration: none;}a:visited {color: #000000;text-decoration: none;}a:hover {color: #999999;text-decoration: none;} 目录About pymysqlInstall准备建立连接创建数据库快速上手之增删改查增删改查SQL注入事物存储过程返回Python目录返回测试目录返回随笔首页About pymysql返回顶部在Python2.x中，Python连接MySQL服务器使用mysqldb库，但是它只支持到Python2.x，在Python3.x中由pymysql模块代替。...

PyMySQL基本使用以及SQL注入问题【代码】【图】

目录PyMySQL基本使用以及SQL注入问题PyMySQL基本使用SQL注入问题数据的增删改查PyMySQL基本使用以及SQL注入问题PyMySQL基本使用又是一个可以帮助我们实现用代码来操作数据库的模块，安装，导入即可然后导入即可使用# pymysql基本使用 import pymysqlconn = pymysql.connect(user='root',password='123',host='127.0.0.1',port=3306,charset='utf8',database='db3' ) cursor = conn.cursor(cursor=pymysql.cursors.DictCursor) # 产...

11 May 18 子查询，IDE工具（navicat），pymysql模块（安装，查询，防sql注入，增删改）

11 May 18一、上节课复习select concat_ws(":",name,age,sex,post) as info from emp; # egon:male:18 二、子查询（一个问题一个问题解决）把一个查询语句用括号括起来，当做另外一条查询语句的条件去用，称为子查询 select name from emp where dep_id = (select id from dep where name="技术"); #子查询select emp.name from emp inner join dep on emp.dep_id = dep.id where dep.name="技术"; #链表 #查询平...

Python连接MySQL数据库之pymysql模块使用【代码】

Python3连接MySQL本文介绍Python3连接MySQL的第三方库--PyMySQL的基本使用。PyMySQL介绍PyMySQL 是在 Python3.x 版本中用于连接 MySQL 服务器的一个库，Python2中则使用mysqldb。Django中也可以使用PyMySQL连接MySQL数据库。PyMySQL安装pip install pymysql连接数据库注意事项在进行本文以下内容之前需要注意：你有一个MySQL数据库，并且已经启动。你有可以连接该数据库的用户名和密码你有一个有权限操作的database基本使用# 导入p...

首页 / MYSQL / pymysql的使用及sql注入

pymysql的使用及sql注入

内容导读

内容图文

pymysql简介

pymysql使用

准备数据

实现

演示

sql注入

用户名存在绕过密码

用户名不存在，绕过用户名和密码

解决办法

commit()提交

增

改

删

查

内容总结

内容备注

内容手机端

【pymysql的使用及sql注入】教程文章相关的互联网学习教程文章

PYMYSQL - 相关标签

MYSQL - 技术教程分类

MYSQL - 最新教程

MYSQL - 最热教程