А под sql память выделена? И в достаточном количестве?

Сначала надо определить длинну для sql что бы при выполнении sprintf ты не вылез за границы памяти отведенной для sql.
можно примерно оценить размер strlen("TestProc ' ' ")<15+strlen(buf)<30 итого в 45 знаков ты уложишься.
и тогда
char sql[45];
sprintf(sql," TestProc ' %s '",buf);
можно динамически выделить память, только ее надо потом ОБЯЗАТЕЛЬНО освободить.
char* sql;
sql=malloc(14+strlen(buf)); //см примечание
if (sql==NULL)
{
//обрабатываешь ситуацию когда память не выделена
}
else
{
sprintf(sql," TestProc ' %s '",buf);
}

Примечание вместо malloc обычно используют оператор new, хотя сам new в конечном счете все равно использует malloc или __dbg_malloc() имя второго точно непомню при этом в _DEBUG build после того как прога отработает в окошке Debug показываются утечки памяти если таковы были.