是否可以使用SQL注入攻击安装恶意代码

Question

我们最近在一些易受SQL注入攻击的旧代码中发现了一个安全底线。

服务器是在Windows 2012上运行的MS SQL Server 2012。

在调查期间，我被问到是否通过此漏洞安装了任何恶意代码。 SQL服务器曾从Web服务器中删除，但可以访问Internet以进行操作系统更新。

我不知道并且没有听说过通过SQL注入安装/下载的代码，我的立即响应将是不可能的。但是我想我会问Stack Overflow上的好人，因为总有可能我错了：）

Answer 1

是的，SQL Server可以执行master..xp_cmdshell命令，该命令执行Windows命令行操作，允许进一步接管服务器并在其上安装内容。 SQL Server还支持C＃代码嵌入。如果重要的话，我会将服务器用于取证分析，如果不是，则将其完全删除。