Du bruger ikke parameters ...
http://www.eksperten.dk/guide/831Gør sådan her ... gør at man også kan læse koden:
SqlCommand sql = new SqlCommand(@"INSERT INTO tbl VALUES (@FirstName, @LastName, @By)");
sql.Parameters.Add("@FirstName", "value");
sql.Parameters.Add("@LastName", "value");
sql.Parameters.Add("@By", "value");
sql.ExecuteNonQuery();
Erstat med dine egne input.
Men tror ikke ` må bruges i SQL ... så du skal bruge ' ...
SqlCommand cmd = new SqlCommand("insert into tbl values('"+txtfname.Text+"','"+txtlname.Text+"','"+txtby.Text+"')",con);
Udover det så havde du _ALT_ for mange " i din sql ...
Dvs du ville faktisk indsætte teksten af dine txtlname etc. i stedet for at tage selve string værdien.
Håber du vil læse op på Paramters i .NET ... det gør dit liv nemmere og du slipper for sql injections i din kode.
mvh