Bypass Login-Code php

Question

Ich habe ein Problem mit mycode '=' 'oder'

$connect= mysqli_connect($host, $user, $password, $database); 

if (isset($_POST["sub"])){ 
    $userr =$_POST["username"]; 
    $passs =$_POST["password"]; 
    $password = hash('sha256', $passs); 
    $query="select * from user WHERE username='$userr'AND password='$password'";  

    $run=mysqli_query($connect,$query); 

         if(mysqli_num_rows($run)) 
    { 
     header("Location: index.php"); 
     $_SESSION['username']=$userr; 
     exit; 
    } 
    else { 
     $pri ='<center><br/> error </center>'; 
    } 
} 
mysqli_close($connect); 

so, wenn jemand tun Bypass '=''or' verwendet, wird es

index.php gehen, weiß ich nicht wirklich wie man es beheben ..

Answer 1

gerade richtig die $userr und $password Variablen für die Verwendung in sQL-Anweisung wie folgt entkommen:

$query="select * from user WHERE username='".mysqli_real_escape_string($connect, $userr)."' AND password='". mysqli_real_escape_string($connect, $password)."'"; 

Sie können PHP mysqli sql Injektion für weitere Informationen suchen.