Jeg sidder lige og leger med sql injection på min pc og har lavet følgende kode:
<?
if(isset($_POST['submit']))
{
$user = $_POST['user'];
$pass = $_POST['pass'];
include('config.inc.php');
$link = mysqli_connect($dbhost,$dbusername,$dbpasswd,$dbname);
$query = mysqli_query($link, "SELECT * FROM users WHERE username = '$user' AND password = '$pass'");
$number = mysqli_num_rows($query);
echo $number;
if($number == 1)
{
echo "Du er nu logget ind!!!";
}
}
?>
<form method="POST" action="sqlinject.php">
Username
<br />
<input type="text" name="user" />
<br /><br />
Password
<br />
<input type="password" name="pass "/>
<br /><br />
<input type="submit" name="submit" value="OK" />
</form>
Har et entry i databasen hvor username = admin og password = tester. Men taster jeg det ind i formen får jeg ikke at vide at jeg er logget ind
. Hvad gør jeg forkert??