Wie viel Schaden kann die SQL-Injektion über diese gespeicherte Prozedur verursachen?

Question

Vor kurzem zufällig auf eine gespeicherte Prozedur, die von den Vorgängern fest codiert wurde, einige CRUD durchzuführen. Es betrifft nicht kritische Tabellen in der Produktionsdatenbank. Ich habe das Gefühl, dass SQL-Injektionen verwundbar sind, aber es scheint, als ob die Injektion wirklich harmlos ist, da CRUD auf nicht-kritischen Tabellen ausgeführt wird.

Der Parameter @LocalDatabase wird in der Konfigurationsdatei connectionString="Server=localHost;Database=localDatabase;..." übergeben.

Ich frage mich, ob eine mögliche SQL-Injektion in diesem speziellen SP die Produktionsdatenbank katastrophal schädigen kann? Ich wäge den Kosten-Nutzen-Effekt ab, dieses ganze Modul neu zu schreiben.

ALTER PROCEDURE StoredProc_Name 
(
    @LocalDatabase  varchar(50), 
    @Result    int    OUTPUT 
) 

SET @Sql = N'UPDATE <Production Database>.Table1 
SET  ... 
FROM <Production Database>.NewTable INNER JOIN 
     '+ @LocalDatabase +'.dbo.Table1 ON ... INNER JOIN 
     '+ @LocalDatabase +'.dbo.Table2 ON ... 
WHERE NOT EXISTS(SELECT 1 
        FROM <Production Database>.dbo.Table2 
        WHERE .....)' 

EXEC(@Sql) 
SET @Result = @@ROWCOUNT 

Schätzen Sie alle Ratschläge oder helfen Sie, in die richtige Richtung zu zeigen. Danke im Voraus.

Answer 1

Solange der Benutzer den als @LocalDatabase übergebenen Wert nicht beeinflusst, wäre dieser Ansatz in Ordnung. Nicht mit dynamischem SQL wäre besser, aber dieser Ansatz kann funktionieren ...