sql - SQL インジェクション - 複合ステートメント?

Question

DESCそれらの値で終わる、またはASC変数から引き出された単一のクエリを SQL で挿入することは可能ですか?

SELECT * FROM [master].[dbo].[spt_values] ORDER BY low asc

ステートメントはレコードセットに直接読み込まれるため、セミコロンと新しいステートメントを追加しようとしても機能しません。

セミコロン new ステートメントやユニオンなどを試しました。

最初のデータセットがネストされていないため、ネストせずにデータセットを最初のデータセットに結合する方法はありますか?

編集: セミコロン new コマンドは、すべてがレコードセットとして返されるため機能しません。新しいコマンドであらゆる種類のエラーをスローするだけです。現在修正中です。これらのことは良い習慣ではないことを上層部に示そうとしているだけです。

score 2 · Accepted Answer

はい、またはもちろんそこに注射できます。このようにしてみてください

SELECT * FROM [master].[dbo].[spt_values] ORDER BY low asc; DROP TABLE Users;

score 1 · Accepted Answer

はい、これは可能です。信頼できない (!) 入力文字列を検証しないのはなぜですか?

Assert.IsTrue(str == "asc" || str == "desc");

2 に答える 2