我的同事对他的代码不安全,并允许用户上传要在服务器上运行的sql文件.
他删除了文件中的任何关键词,如“EXEC”,“DROP”,“UPDATE”,“INSERT”,“TRUNC” @H_403_3@我想通过利用他的EXEC(@sql)向他展示他的方式的错误

@H_403_3@我的第一次尝试将是’EXEXECEC(N”SELECT”你DRDROPOPped the ball Bob！”)’

@H_403_3@但他可能会在循环中过滤掉所有内容.

@H_403_3@有没有办法可以利用我的同事的代码？或者过滤掉关键词？

@H_403_3@编辑：我让他检查他的代码.如果代码包含关键字,则不执行它.我还在试图弄清楚如何使用二进制转换来利用它.