SQL-injectie is dé manier bij uitstek voor aanvallers om toegang tot de gehele infrastructuur te krijgen, toch onderschatten systeem- en databasebeheerders het probleem, aldus Harlan Carvey van IBM's Internet Security Systems. "Wat veel databasebeheerders niet begrijpen, is dat SQL-injectie een aanvaller niet alleen gegevens in de database van de webapplicatie laat manipuleren, het kan ook directe toegang tot het besturingssysteem bieden waarop de database draait." Via features zoals xp_cmdshell in Microsoft SQL Server is het mogelijk om DOS shell commando's op het onderliggende besturingssysteem uit te voeren met dezelfde rechten als de database, en in de meeste gevallen gaat het dan om systeemrechten waardoor een aanvaller volledige controle kan krijgen.

Carvey merkt op dat aanvallers eerst "dir" en "type" commando's uitvoeren om de inhoud van een lokale schijf te bepalen en vervolgens via "ipconfig" en "ping" de netwerkverbinding controleren. Via het "net" commando kan de aanvaller dan een gebruiker aan het systeem of domein toevoegen en andere systemen binnen het netwerk vinden die een SQL-server of MSDE draaien.

FTP client
Ook het infecteren van systemen met malware is via SQL-injectie vrij eenvoudig, wat ook geldt voor het draaien van een FTP server op een gehackte machine. "Sommige systeembeheerders weten niet dat er standaard een FTP client op Windows systemen draait of zijn niet bekend met wat een FTP script is of hoe het eruit ziet." Het probleem gaat volgens Carvey verder dan het plunderen van gevoelige gegevens uit databases. Aangezien de machines zich vaak diep binnen het netwerk bevinden, kan een aanvaller uiteindelijk ook de rest van de infrastructuur verkennen en aanvallen.