开启magic_quote_gpc=on之后，能实现addslshes()和stripslashes()这两个函数的功能。在php4.0及以上的版本中，该选项默认情况下是开启的，所以在php4.0及以上的版本中，就算php程序中的参数没有进行过滤，php系统也会对每一个通过get、post、cookie方式传递的变量自动转换，换句话说，输入的注入攻击代码将会全部被转换，将给攻击者带来非常大的困难。
虽然如此，攻击者仍然有机会进行sql注入攻击。。。。。。前提是，当参数为数字型的时候，且未经过intval()函数的处理，因为经过intval()的处理之后，所有的数据就都会强制转换成数字。
前面已经提到过，开启magic_quote_gpc=on之后，相当于使用addslshes()这个函数。但是数字型没有用到单引号，所以理所当然的绕过了addslshes()函数的转换了。而使用mysql自带的char()函数或者hex()，char()可以将参数解释为整数并且返回这些整数的ascii码字符组成的字符串，使用十六进制表示必须在数字前加上0x。
实例演示：
假设我们知道管理员的用户名为admin，密码不知道。并且已经将magic_quote_gpc启用。
sql语句：
代码如下