Buenas:

Tengo aqui una aplicacion basada integramente en asps. Corre en un IIS y por detras tiene un SQLserver. Trato de encontrar fallos.. pero no lo hago, cosa que me frustra teniendo el codigo aqui delante. La cuestion es que todas las consultas que se realizan a la bd son mediante llamadas a StoredProcedures. Han codificado todas las posibles consultas en el servidor SQL. Despues se llaman y se les pasan los argumentos necesarios que suelen ser datos proporcionados por los usuarios que NO han sido validados de ninguna manera. Teniendo en cuenta esto... es correcto afirmar que es imposible inyectar sentencias? Tengo entendido que estos procedures estan compilados y no pueden ser modificados.

La gestion de sesiones se hace mediante la coleccion session de asp, lo cual genera como token un ASPSESSIONID volatil. (¿Por cierto, alguien conoce algun paper sobre debilidades en el algoritmo de generacion de este token?). Me olvido del robo de sesiones por deduccion o fuerza bruta. No tengo acceso al SQL que tiene almacenados los sp, ni tengo posibilidad de correr la aplicacion precisamente por eso, asi que no se si los stored procedures validaran los datos de salida antes de devolverlos al cliente... por ahi, podria haber un fallo de XSS pero tampoco puedo tener la certeza de que exista.

Centrandonos en la aplicacion en si, sin tener en cuenta posibles fallos de configuracion o falta de parches en el IIS... que otras consideraciones deberia tener en cuenta antes de seguir comiendome los cuernos con este codigo?

Saludos a todos.