Yang perlu di ketahui sebelum sql injection pada ms-sql:

comments: --sp_password, sp_password berfungsi agar mssql tidak melakukan logs query pada mssql ( tapi kemungkinan tetap terlog pada server logs)
sering di temui pada web aplication: asp,cfm,aspx. etc.


step 1. mengetahui situs itu vulnerable sql injection atau tidak.

*menggunakan tanda petik,or 1=1,having 1=1,etc

bila mengunakan cara diatas tanda petik,or 1=1,having 1=1,dll maka umumnya kita akan mendapatkan pesan error. untuk pesan error dapat dilihat diatas.
http://www.target.com/blabla.asp?id=10'
http://www.target.com/blabla.asp?id=10 or 1=1--sp_password
http://www.target.com/blabla.asp?id=10 having 1=1--sp_password

Lebih lanjutnya anda download disini