¿Qué puede decir acerca de esta entrada de formulario cuando da un error interno con '; -' y no '; -?

Intenté explicarlo en líneas similares a la respuesta de SilverlightFox usando algunos espacios en la construcción de consultas SQL.

Pero, con ese enfoque, no puedo explicar por qué ';-f-' y ' AND nonsense=1 no produjo un error interno.

Entonces, supongo que el error interno no se debe realmente a un error de DB Sql.

Es causada por una función de desinfección aplicada en la entrada de usuario. Ejemplo de php usando preg-match a continuación.

function inputSanitiser($userinput)
{
$string1=$userinput;
$semicolonExist=preg_match("/';--/",$string1); //search for location(int) of ';-- in $string 1

$string2 =substr ( $string1 , stripos ( $string1 , "';--")+3); //substring from $string1 after the location  ';-- to end of $string1
$commentCloseExist=preg_match("/'/",$string2); //search for location(int) of ' in $string2


    if($commentCloseExist&&$semicolonExist)
    {
        produceInternalError();
    }
    else
    {
        runDbQuery($string1); //runDbQuery will not through Internal error and will silently fail
    }

}

En pocas palabras, la función inputSanitiser está comprobando algunos patrones como

  

';-- seguido de '

     

y puede estar ' UNION ' en cualquier lugar de la cadena

y algunos otros. Entonces, supongo que ';--somethinghere--' y ';--somethinghere-' también deberían producir un error interno.

De las muestras dadas, parece ser una inyección SQL normal con una cadena.

En aras del argumento, digamos que la consulta era

select * from users where username='<user data>' ;

Es correcto que los dos primeros causen un error ya que producen SQL no válido:

select * from users where username='';--'' ;
select * from users where username='';---'' ;

Porque con respecto a comentarios de MySQL :

  

el estilo de comentario “-- ” (doble guión) requiere que el segundo guión sea   seguido de al menos un espacio en blanco o un carácter de control (como un   espacio, tabulador, nueva línea, etc.)

Prueba ';-- '

Es probable que no se necesiten comillas simples finales.

El producto restante es incompleto (es decir, sin comillas simples de cierre) o SQL válido, por lo que no se produce ningún error:

select * from users where username='';--' ;
select * from users where username='";--"' ;
select * from users where username=';--'' ;

Ten en cuenta que

select * from users where username='';-f-'' ;

debería error. Confirmaría si el resultado de este caso de prueba es correcto.