实验吧 WEB 登陆一下好吗??

有很多字符串都被过滤了，例如or, select, *, #, --等。
在账号密码处都输入'='即可得到flag。
原理：
猜测sql语句变成了select * from user where username = ''='' and password = ''='';
username=''返回false，false=''返回true，password同理；
因此sql语句就变成了select * from user where 1 and 1;。
得到flag：