Alan B's questions

Estou testando algo em torno de SSL\TLS e SQL Server 2017. Habilitei o TLS em uma instância de teste do SQL Server criando um certificado autoassinado e executando as etapas necessárias para adicioná-lo ao repositório de certificados do Windows e, em seguida, adicioná-lo ao SQL Server no Gerenciador de configuração. Eu também configurei 'Force Encryption' para 'On' e reiniciei o serviço. Então, tanto quanto posso verificar, isso é suficiente para habilitar o TLS no lado do SQL Server.

Para aplicativos cliente em outros computadores que se conectam à instância do SQL Server, estou confuso sobre quais são os requisitos de cadeia de conexão para conexões usando SqlClient. Meu entendimento ao ler sobre isso foi que 'TrustServerCertificate=true' teria que ser adicionado à string de conexão, mas parece possível conectar-se sem isso.

Isso ocorre porque o certificado no servidor é visto como sendo de uma autoridade confiável?

Estou testando a resiliência contra ataques de injeção em um banco de dados SQL Server.

Todos os nomes de tabela no banco de dados são minúsculos e o agrupamento diferencia maiúsculas de minúsculas, Latin1_General_CS_AS .

A string que posso enviar é forçada para maiúscula e pode ter no máximo 26 caracteres. Portanto, não posso enviar um DROP TABLE porque o nome da tabela estaria em letras maiúsculas e, portanto, a instrução falharia devido ao agrupamento.

Então - qual é o dano máximo que eu poderia fazer em 26 caracteres?

EDITAR

Eu sei tudo sobre consultas parametrizadas e assim por diante - vamos imaginar que a pessoa que desenvolveu o front-end que cria a consulta para enviar não usou parâmetros neste caso.

Também não estou tentando fazer nada nefasto, este é um sistema construído por outra pessoa da mesma organização.

Preciso criar um script de esquema de banco de dados para T-SQL para controle de origem de inclusão. A versão Express do SSMS não parece permitir que você faça o script de todo o banco de dados, apenas de tabelas individuais. Existem ferramentas gratuitas (scripts ou não) que podem fazer isso?