Saya sedang menguji ketahanan terhadap serangan injeksi pada database SQL Server.
Semua nama tabel dalam db adalah huruf kecil, dan susunannya adalah case-sensitive, Latin1_General_CS_AS .
String yang dapat saya kirim dipaksa untuk huruf besar, dan panjangnya bisa maksimum 26 karakter. Jadi saya tidak dapat mengirim DROP TABLE karena nama tabel akan menjadi huruf besar dan dengan demikian pernyataan akan gagal karena pemeriksaan.
Jadi - apa kerusakan maksimum yang bisa saya lakukan dalam 26 karakter?
EDIT
Saya tahu semua tentang kueri parameterised dan sebagainya - mari kita bayangkan bahwa orang yang mengembangkan front end yang membangun kueri untuk dikirim tidak menggunakan params dalam kasus ini.
Saya juga tidak mencoba melakukan sesuatu yang jahat, ini adalah sistem yang dibangun oleh orang lain di organisasi yang sama.