Existe una pregunta relacionada: ¿Qué es la inyección SQL y cómo puedo evitarla? la cual cuenta con excelentes respuestas sobre el tema de la Inyección SQL.
Creo que muchos de nosotros, cuando vemos consultas de este tipo:
SELECT * FROM tabla WHERE id=$id;
pegamos el grito al cielo (y con toda razón), advirtiendo al OP de que su código es vulnerable.
En efecto, comprendemos que la variable $id
es suministrada por el ususario, a través de un formulario, de una URL o de cualquier otra fuente externa.
Si dicha variable depende del usuario y el programador crea código para que la consulta se ejecute sin ningún tipo de prevención, cualquier usuario mal intencionado puede escribir código dañino donde se recogen los datos externos y hacer que dicho código se ejecute.
#La pregunta
En muchos casos, cuando se advierte del código vulnerable algunos argumentan que son datos de prueba y que es una base de datos de prueba. O sea, poco importa que se borren tablas o que se tome el control de ella, después de todo son datos de prueba.
Pero... ¿y si nuestro sistema propiamente está en riesgo?
Mi pregunta es si la Inyección SQL tiene impacto sólo a nivel de la base de datos o si cualquier usuario mal intencionado puede acceder también a nuestro sistema (no solamente a la base de datos) y ejecutar comandos dentro de él.
O planteado de otro modo: ¿la Inyección SQL podría ir más lejos de SQL?.