Buenas,

Tengo una web que es vulnerable a este tipo de ataques a traves de un formulario de login, los datos se comprueban usando un Stored Procedure, pero no los limpian antes de mandarlo, algo asi:


Ahora, yo tengo un usuario valido, pero no tengo forma de conseguir la contraseña. Intente ejecutar consultas despues de cerrar la llamada al sp, mandando como password algo asi:


Pero me devuelve siempre el siguiente error:


Tanto con INSERT como con UPDATE da el mismo error.

Alguna sugerencia?

Se puede llegar a injectar SQL dentro el codigo del SP??

Saludos.