Napastnik wpisał w polach „login” i „hasło” formularza logowania ten sam tekst ' OR '1'='1 i uzyskał dostęp do panelu bez znajomości hasła. Jaki atak przeprowadził?

Dlaczego tak

Wstrzyknięte fragmenty ' OR '1'='1 zmieniają sens zapytania SQL sklejanego z danymi użytkownika: warunek WHERE staje się zawsze prawdziwy i baza zwraca rekord bez sprawdzenia hasła — to SQL injection, przed którym chronią zapytania przygotowane (parametryzowane). XSS polega na wstrzyknięciu skryptu JavaScript wykonywanego w przeglądarkach innych użytkowników, a nie na modyfikacji zapytania do bazy. Phishing wyłudza dane podszywaniem się, a brute force próbuje kolejnych haseł.