¿Algún efecto residual después de que se haya ejecutado SQLMAP?

La vulnerabilidad de Inyección de SQL se debería haber informado en el informe de prueba del lápiz junto con una guía sobre cómo solucionarlo.

Volvería a los evaluadores de lápiz y les preguntaría si tiene alguna preocupación sobre lo que se hizo, si no fueron más allá de enumerar las bases de datos, las cargas útiles de Metasploit no deberían haberse cargado en el servidor, pero definitivamente ir Vuelve con ellos y pregunta si tienes alguna duda.

Debería poder ver en el informe cómo explotaron la vulnerabilidad y, a partir de la información proporcionada, debería poder reproducirla usted mismo.

Según la documentación , una de las configuraciones de sqlmap es risk .

  

Esta opción requiere un argumento que especifique el riesgo de las pruebas a realizar. Hay cuatro valores de riesgo. El valor predeterminado es 1, que es inocuo para la mayoría de los puntos de inyección de SQL. El valor de riesgo 2 agrega al nivel predeterminado las pruebas para inyecciones de SQL basadas en el tiempo de consultas pesadas y el valor 3 también agrega pruebas de inyección de SQL basadas en OR.

     

En algunos casos, como una inyección de SQL en una declaración de ACTUALIZACIÓN, inyectar una carga útil basada en OR puede llevar a una actualización de todas las entradas de la tabla, que ciertamente no es lo que quiere el atacante. Por esta razón y por otras, se ha introducido esta opción: el usuario tiene control sobre qué cargas útiles se prueban, el usuario puede elegir arbitrariamente utilizar también las potencialmente peligrosas. De acuerdo con la opción anterior, las cargas útiles utilizadas por sqlmap se especifican en el archivo textual xml / payloads.xml y usted es libre de editar y agregar las suyas.

por lo tanto, dependiendo de las opciones con las que hayan probado su sitio, sus datos podrían haber sido afectados. Sin embargo, como @airloom debe poder preguntar a los evaluadores de bolígrafos cómo han probado su sistema y qué daño potencial podría haber ocurrido.