htmlspecialchars und Double Quote SQL Injection

[CaptNick]

Habe schon ne weile gegoogelt aber so richtig finde ich keine erklärung warum ein mit htmlspecialchars bearbeitetes " also " trotzdem anfällig für SQL Injections sein soll?

 

[Alice]

Ich kann dir deine Frage auch nicht zuverlässig beantworten, finde die Frage - wenn es denn stimmt - auch sehr interessant.

Vielleicht "übersetzt" die DB das " zurück in "?

 

[CaptNick]

ich habe das schon getest im MySQL Log ist das " auf jedenfall drin und es lies sich auch kein Befehl anhängen wie DROP Table xyz; -- obwohl wenn man nur ein -Backslash \ ins inputfeld setzt ein SQL Fehler kommt, den ich auch nur gefunden habe durch ne scanner software.

SELECT * FROM user WHERE user_name="test" AND user_loginname="\"; DROP TABLE test; -- ""

sagt das log aus