sql - SQL 注入 - 复合语句？

Question

是否可以 SQL 注入以这些值结尾或从变量中提取的单个DESC查询ASC？

SELECT * FROM [master].[dbo].[spt_values] ORDER BY low asc

尝试添加分号和新语句将不起作用，因为该语句直接加载到记录集中。

我们尝试了半冒号 new 语句和 union 等。

有没有办法将数据集加入第一个而不嵌套，因为第一个没有嵌套？

编辑：分号新命令将不起作用，因为它全部作为记录集返回。它只是使用新命令引发各种错误。目前正在修复中。只是试图向高层管理人员表明这些事情不是好的做法。

Answer 1

是的，或者你当然可以在那里注射。像这样试试

SELECT * FROM [master].[dbo].[spt_values] ORDER BY low asc; DROP TABLE Users;

Answer 2

是的，这是可能的。为什么不验证 untrusted(!) 输入字符串？

Assert.IsTrue(str == "asc" || str == "desc");