หลักๆที่ควรจะต้องทำก็คือดูพวกตัวอักขระเฉพาะ เช่น " ' ไม่ให้เข้าไปใน query string ตรงน่ะครับ

ไม่แน่ใจว่าเรื่องความยาวของ query string จะมีผลด้วยหรือเปล่า เช่น ยาวเกิน buffer overflow

ยังไงก็ลองปรับวิธีที่ใช้กับ MySQL ดูล่ะกันครับ

article ข้างล่างน่าจะ cover ได้เกือบหมดนะครับ (อ่านตามลำดับนะ)
http://dev.mysql.com/tech-resources/articles/guide-to-php-security-ch3.pdf
http://shiflett.org/articles/sql-injection
http://shiflett.org/blog/2006/jan/addslashes-versus-mysql-real-escape-string

ใช้ TSQL หรือ Linq แทน
กรองพวกคำสำคัญก่อนโดยเปลี่ยนเป็นอย่างอื่นเช่นรูปภาพหรือคำต้องห้ามขึ้นเป็น XXX

เท่าที่เห็นก็ต้องทำสองจุดนี้
แต่ที่สำคัญคือไปไล่หาจุดที่โปรแกรมเรารั่วน่ะครับ

อย่างแรกเลย
กำหนดให้ connect ด้วยสิทธิ์ที่ต่ำที่สุด

คือ สร้าง login ขึ้นมาเฉพาะ
แล้ว map เป็น user ใน databasee เฉพาะที่ต้องการ
กำหนด role ให้เป็นแค่ datareader และ datawriter ก็พอ
ทั้ง 2 role นี้มีสิทธิ์แค่ select และ dml เท่านั้น ไม่มีสิทธิ์ ddl

หรือจะสร้าง role ใหม่ ให้มีสิทธิ์แค่เท่าที่จำเป็นก็ได้
เช่น ไม่มีสิทธิ์ delete เป็นต้น จะช่วยได้ระดับหนึ่ง

ที่สำคัญ อย่าลืมเปลี่ยน account ที่ใช้งานเป็น login นี้ล่ะ

อีกแนวทางคือใช้ล็อกอินที่มีสิทธิรัน Stored Procedure เท่านั้นครับ แล้วก็สร้างเฉพาะ Stored Procedures ที่ต้องการ

ถ้าใช้ .NET ก็ลองดูการใช้ ADO.NET กับ Parameterized Query ครับ

onedd.net