Solucionado
Professor, nessas simulações colocamos nossa placa de rede sempre em modo bridge, para que a máquina do hacker e da vítima estejam na mesma rede, mas na vida real os ataques não acontecem assim né? Sou leigo nesse meio mas me vem a cabeça que esses ataques de SQL Injection devem vir de hackers que estão longe de suas vitimas.
No laboratório criado pelo professor, a máquina do atacante está na mesma rede onde o servidor está rodando. Em um caso onde o atacante está fora da rede LAN, ele acessaria a aplicação por meio do endereço IP externo ou domínio.