Hola amigos.
Estoy haciendo un test para inyeccion sql en un site y me devuelve los siguientes errores. La verdad es que no se como

interpretarlos. Es decir, no se como hace la validación. Os muestro la entradas que pongo en el campo del usuario y las

respuestas obtenidas

El campo que se manda a la pagina de validación es 'Codigo usuario'

En campo Codigo usuario introduzco: '
Respuesta:
Microsoft OLE DB Provider for ODBC Drivers error '80040e14'
[Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near 'Codigo'.
/login.asp, line 55
En campo Codigo usuario introduzco:  --'
Respuesta:
Microsoft OLE DB Provider for ODBC Drivers error '80040e14'
[Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near 'Codigo'.
/login.asp, line 55


En campo Codigo usuario introduzco: 'or''='1
Respuesta:
   Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

   [Microsoft][ODBC SQL Server Driver][SQL Server]Incorrect syntax near the keyword 'or'.

/login.asp, line 55
En la siguiente petición meto la comilla simple entre dos dobles. El mensaje devuelto es más complejo

En campo Codigo usuario introduzco: "'"or''='1
Respuesta:
   Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

   [Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near 'or''='1','','','',0,'Codigo Usuario='.

/login.asp, line 55
   
En campo Codigo usuario introduzco: textoprueba"'"or''='1 Aquí es donde más desconcierta. textoprueba lo pone al final de la sentencia ... mientras que 'or''='1 lo pone al principio
Respuesta:

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'
[Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near 'or''='1','','','',0,'Codigo Usuario=textoprueba'.
/login.asp, line 55

Sabría alguien orientarme al respecto. (¿Se está haciendo algo para protegerse de sql injections,..., la consulta de validación es demasiado compleja, ....etc.)

Otra consultilla relacionada ... Sólo con que un web site te devuelve los errores de SQL Server ... es factible la inyección

SQL.?

Muchas gracias