带有存储过程名称的SQL注入

Question

我有一个带存储过程名称的url作为参数。

这是一个带有参数“MyStoredProcedure”作为存储过程名称的示例url。有没有办法可以替换或执行某些系统内置SP或使用此URL进行任何其他黑客操作？

http://mywebapp/arsys/BackChannel/?param=170%2FExpandMenu%2F13%2FSQLMenuOnOpen14%2Fmyserver%2Fmyconsoleapp14%2Fmyserver14%2FIR_MainConsole0%2F0%2F1%2F01%2F02%2F0%2F2%2F0%2F2%2F0%2F13%2F1%2F9%2F58000011015%2F1%2F10%2F的 MyStoredProcedure 5％2F1％2F1％2F42％2f0的％2F2％2f0的％2F2％2f0的％2F＆安培; sToken = TK6I-9RXH-1UQW-IILQ-8A31-AK21- YE01-IOXK

Answer 1

看看我的白皮书，它随时随地引入了SQL注入 - 故意运行时错误二进制SQL注入＆＃34;。 它可能会有所帮助（取决于数据库类型）。 https://drive.google.com/file/d/0B3_AmubjewYTMmY4MDRiNTAtYmVkMi00NGQ4LTg3NjEtY2ZlNTdiYjZlYzUy/view?ddrp=1&hl=en