SQL Injection

Pessoal...Sofri uma invasão num Admin usando ACESS, mesmo tomando o cuidado de usar o Replace("Aspas Simples")!! Daí resolvi ler um pouco mais sobre o SQLInjection e fiz alguns testes em dois BDS diferentes...retirei o Replace("Aspas Simples") nos dois casos só pra fazer os testes...

Numa aplicação q usa SQLServer, realmente a vulnerabilidade é gigantesca! Só com o comando ' or 1=1-- consegui burlar a senha! Depois usei o ' having 1=1-- e de posse do nome da tabela consegui até incluir um novo administrador e senha nela e em seguida loguei na area restrita com ela!

Depois fiz o mesmo teste numa aplicação usando ACESS, só q os resultados obtidos são diferentes! Conforme abaixo:

>
****

SQLServer :

COMANDO ' or 1=1--

- Consegui burlar a senha e acessar a area restrita

' having 1=1--

Consegui Pegar o nome da tabela e depois injetar Um novo Admin e senha nesta tabela

' ; INSERT INTO minhatabela VALUES('iporto','1984')-- CONSEGUI INCLUIR UM user e senha depois de ter conseguido pegar o nome da tabela com o comando having!!

NO ACESS

COMANDO ' or 1=1--

- MENSAGEM DE ERRO: "Syntax error in string in query expression 'tbUser = '' or 1=1--' and tbSenha = '''. ELE ATÉ TROUXE OS NOMES DAS COLUNAS, TBUSER E TB SENHA (É UMA BRECHA...MAS NÃO TROUXE O NOME DA TABELA E NEM DEIXOU LOGAR)

' having 1=1--

- Syntax error in string in query expression '1=1--' and tbSenha = '''. NÃO TROUXE NENHUMA INFORMAÇÃO RELEVANTE

' ; INSERT INTO minhatabela VALUES('iporto','1984')-- MENSAGEM DE ERRO: "Characters found after end of SQL statement. " E NÃO GRAVOU NA TABELA!

DETALHE: Foi só retornar o Replace(AspasSimples) q consegui evitar os comandos acima

Enfim...nos meus testes o SQLServer me pareceu bem mais vulnerável ao Injection q o ACCESS!! engraçado como q o cara conseguiu invadir mesmo eu usando o Replace("AspasSimples") e ainda usando o ACCESS!! o cabra deletou meu bd inteiro! sorte q eu tinha um back dele de uma semana atrás! Gostaria de algumas dicas voltadas pro ACCESS... Alguem sabe alguns comandos q funciona no ACCESS pra me precaver?

Grato