Moin,
die @wako sagte, ich sollte dich mal kontaktieren. Es geht um das "Krähennest", und die Sicherheit davon.
Um überhaupt was zu machen, muss ich erstmal klarstellen, dass der "Hauptbug" nicht in der Software liegt, zumindest nur sehr begrenzt. Der liegt zuallerst an der Version des Betriebssystems sowie des Interpreters, und der Bugs dessen, die zu gern ausgenutzt werden.
Hier der Screenshot mit sqlmap:
http://i.imgur.com/BSwocay.png

Der Bug kreist um eine SQL-Injection von Hexadezimalzeichen, mit dem das Betriebssystem/die Shell dahinter bedienbar wird. Bei der Software dreht sich das "Schlimmste" um ein "mangelhaftes" quoting von Eingabezeichenketten durch User(URI, POST/GET usw.). Beispielsweise ist es möglich, mit einem UNION-Query und einem einfachen "'" eine SQL-Injection durchzuführen. Hier reicht also lediglich das umwandeln der Zeichen in HTML-Chars, oder besser, direkte suchen und löschen eben dieser.

Durch diese einfacheren Techniken war es mir möglich, mit dem User "DBA" das (zwar verschlüsselte) Password auszulesen. Da dass MSSQL-Verschlüsselungsverfahren nicht sehr rechenintensiv ist, wäre mir hier(wenn ich eine schlechte Absicht hätte) eine Dictionary, oder Rainbowtable Attacke(meinetwegen auch Bruteforce) möglich:
sa:0x010056049b0e573df6d99fe1f0012274f3164dc9cdc76f85fe1a
($USER:$Hash[6-12 Zeichen]00$Pass)

Also, schlage ich erstmal vor den Server zu updaten oder zu wechseln. Er ist zu alt, hat zuviele öffentliche Lücken und dazu noch kritische Bugs, mit denen ich theoretisch auch alle Datenbanken hätte löschen können:
http://i.imgur.com/IOeu5lx.png

Mir wurde auch berichtet, dass Du Hilfe dabei bräuchtest - ich würde liebend gerne helfen, ehrlich, kann aber weder ASP(X)(.NET) noch MSSQL. :-/

Ansonsten, freundliche Grüße,
darksider3