既知のSQLインジェクションの脆弱性、今は何ですか？

Question

私のテストサイトの1つをAcunetixでスキャンしたところ、閉じられていない引用符が原因でSQLインジェクションの脆弱性があることがわかりました。

フォームに1'"と入力すると、エラーメッセージが表示されます。

そして、私はURLで

"...MessageHandler.asmx/ChangePassword?PIN=1%27"&CurrentPwd=1&newPwd=1"

を入力すると、私はエラーメッセージが表示されます。

私の質問は、どこからここを訪れて、もう少し詳しく調べるのですか？私は注射に関するチュートリアルを読んだことがありますが、私はこの点から何をすべきか分かりません。私は注射脆弱性があることを知っていますが、今は何ですか？

他のどのようなデータが表示されるのか、私の次のステップは何でしょうか？

Answer 1

Microsoft SQL Serverでは、SQLインジェクションはストアドプロシージャを使用して無効にされます。送られたコマンドはパラメータとして実行されません。埋め込みSQLをストアドプロシージャに置き換えると、SQLインジェクションの脅威が排除されます。 GUIの検証ルーチンを通じて入力をサニタイズすることは、まだ良い習慣ですが、経験豊富なハッカーが簡単に渡すことができるので、埋め込みSQLを削除することも重要です。