Existe una pregunta relacionada: ¿Qué es la inyección SQL y cómo puedo evitarla? la cual cuenta con excelentes respuestas sobre el tema de la Inyección SQL.
Creo que muchos de nosotros, cuando vemos consultas de este tipo:
"SELECT * FROM tabla WHERE id=$valor";
O bien:
"INSERT INTO tabla (columna) VALUES ($valor)";
O bien:
"UPDATE tabla SET columna=$valor";
u otra parecida, pegamos el grito al cielo (y con toda razón), advirtiendo al OP de que su código es vulnerable.
En efecto, comprendemos que la variable $valor
es suministrada por el usuario, a través de un formulario, de una URL o de cualquier otra fuente externa.
Si dicha variable depende del usuario y el programador crea código para que la consulta se ejecute sin ningún tipo de prevención, cualquier usuario mal intencionado puede escribir código dañino donde se recogen los datos externos y dicho código se ejecutará.
La pregunta
En muchos casos, cuando se advierte del código vulnerable algunos argumentan que son datos de prueba y que es una base de datos de prueba. O sea, poco importa que se borren tablas o que se tome el control de la base de datos, después de todo son datos de prueba.
Pero... ¿y si nuestro sistema propiamente está en riesgo?
Mi pregunta es si la Inyección SQL tiene impacto sólo a nivel de la base de datos o si cualquier usuario mal intencionado puede acceder también a nuestro sistema (no solamente a la base de datos) y ejecutar comandos dentro de él.
O planteado de otro modo: ¿la Inyección SQL podría ir más lejos de SQL?.