Não pense que os problemas param em consulta. O mesmo programa pode ser usado para enviar QUALQUER comando SQL, inclusive os que causam perda de dados como DROP TABLE ou DELETE FROM.
Veja um exemplo de inserção de registro na base. O ponto e vírgula permite separar dois comandos no SQL Server!
Uma das piores coisas que um hacker pode fazer é executar um comando de console como “net user /add” e criar um usuário administrador no servidor. Isto pode comprometer não só a base como toda a máquina.