Hace unos días un cliente nos reportó comportamientos extraños en su aplicación, la aplicación en cuestión estaba desarrollada en una tecnología ya en desuso hoy en día (ASP con ODBC), incluso en ocasiones le habíamos propuesto migrar la solución a una tecnología más moderna y adecuada que permitiese una mayor velocidad de ejecución, una mejor experiencia de usuario y un mantenimiento más eficiente (ASP.NET 3.5, AJAX, Silverlight). Pero la aplicación en cuestión, además de haberse quedado unos cuantos años en el tiempo, poseía un serio defecto de programación, quizás cuando fue desarrollada no eran muy comunes los ataques de SQL Injection y quizás fue también un milagro que hasta ese momento la aplicación no haya sido atacada, pero la situación había cambiado ese día, la aplicación que armaba cadenas de texto SQL concatenando sentencias, campos y datos enviados por el usuario de la forma más inocente estaba siendo atacada.

Mas:

http://www.programandoamedianoche.com/2008/07/sql-injection-100-real/

En la búsqueda de texto completo que incluye Microsoft SQL Server 2005 Express Edition se incluyen una serie de archivos noisePA.txt que contienen palabras irrelevantes, es decir, aquellas que no aportan significado, como las preposicions (a, con, de, …).

Por defecto, si se hace una búsqueda que contiene palabras irrelevantes, se muestra un error. Es posible deshabilitar el mensaje de error ejecutando el siguiente script:

Mas:

http://www.vicentjorda.com/?p=117