Direi che prima di exploitare dovresti studiarti il php interfacciato al MySQL

Inviato dal mio HS-L691 utilizzando Tapatalk

comunque in mysql e nello standard SQl si possono inserire commenti e # è per inserire un commenti nel Mysql type per il SQL standard sarebbe -- "commento"
dvwa usa mysql quindi l'attaccante in un attacco sqli # fai ignorare tutto quello che viene dopo il commento e fai attivare il tuo codice maligno
esempio preso da stack overflow


input:

Username: fake' OR 1#
Password: pass

Resultant SQL:

SELECT * FROM users WHERE username = 'fake' OR 1#' AND password = 'pass'
Which is executed as this, which returns every row:

SELECT * FROM users WHERE username = 'fake' OR 1