Acabo de comenzar con la codificación segura. ¿Alguien sabe qué tipo de vulnerabilidad está realizando un atacante ejecutando el fragmento de código?
Están intentando ejecutar comandos de shell a través de inyección SQL. El SQL El procedimiento almacenado del sistema xp_cmdshell del servidor permite al ejecutor ejecutar un script de shell y devolver la salida del script como datos de la fila.
Por lo tanto, si este ataque tuviera éxito, la salida de esa página web (en el caso de que la columna se imprima en algún lugar directamente) mostrará algo entre las líneas de:
Hacer ping a 10.10.1.2 con 32 bytes de datos:
Y el atacante sabría que este ataque en particular funciona y se abrirá paso a través de scripts más ingeniosos para ejecutar.