SQL Injection

SQL Injection 이란? 

•  악의적인 사용자가 보안상의 취약점을 이용하여 조작된 SQL query문을  DataBase에 주입시켜 비정상적 명령을 실행시키는 공격 기법 (  web hacking techniques )

• 해당 공격을 받으면 조직 내부의 민감한 데이터나 개인정보를 획득할 수 있으며, 심각한 경우 조직 데이터 전체를 장악하거나 손상시킬 수 있습니다.

공격 방법 

1 ) 인증우회 

    •  SQL injection은 보통  사용자에게 로그인(username, userid)과 같은 입력 요청 시 발생합니다. 

    •  정상적인 계정정보 없이도 로그인을 우회하여 인증을 획득할 수 있습니다.

 

예를 들어 아이디가 abc, 비밀번호가 1234일 때 쿼리는 다음과 같이 전송될 것입니다.

SELECT * FROM USER WHERE ID = "abc" AND PASSWORD = "1234";

SQL Injection으로 공격할 때, input 창에 비밀번호를 입력함과 동시에 다른 쿼리문을 함께 입력합니다. 

1234; DELETE * USER FROM ID = "1";

보안이 완벽하지 않은 경우, 이처럼 pw가 id와 일치해 True가 되어 뒤에 작성한 DELETE문도 DB에 영향을 줄 수 있게 되는 상황입니다.

 

이 외에도 기본쿼리문의 WHERE절에 OR문을 추가하여 '1' = '1'과 같은 true문을 작성하여 무조건 적용되도록 수정한 뒤 DB를 마음대로 조작할 수 있습니다.

select * from client where name='anjinma' and password=' or '1'='1

 

2 ) 데이터 노출

    •  시스템에서 발생하는 에러 메시지를 이용해 공격하는 방법입니다.

    •  보통 에러는 개발자가 버그를 수정하는데 도움을 주는 존재이지만 해커들은 이를 역이용해 악의적 구문을 삽입하여           에러를 발생시킵니다. 

 

예를 들어, 해커는 GET 방식으로 동작하는 URL 쿼리 스트링을 추가하여 에러를 발생시킵니다. 이에 해당하는 오류가 발생하면, 해당 웹앱의 DB구조를 유추하는 것이 가능하고 해킹에 활용합니다.

 

url을 통해 파라미터를 주고받는 GET 방식은 해커가 단순히 url을 통해 전달될 파라미터를 조작하기만 한다면 손쉽게 SQL injection 취약점을 적용할 수 있습니다. 

 

• URL 쿼리 스트링 : 사용자가 입력 데이터를 전달하는 방법중의 하나로, url 주소에 미리 협의된 데이터를 파라미터를 통해 넘기는 것

 http://test.com/login.php?id=abc1234 and password=''

대응 방법

1) 입력 값에 대한 검증

    •  서버 단에서 화이트 리스트 기반으로 검증해야합니다. 

    •  로그인 전, 검증 로직을 추가하여 미리 설정한 특수문자들이 들어왔을 때 요청을 막아냅니다.

 

2) Prepared Statement 구문 사용

    •  사용자의 입력 값이 데이터 베이스의 파라미터로 들어가기 전에 DBMS가 미리 컴파일하여 실행하지 않고 대기

    •  그 후 사용자의 입력 값을 문자열로 인식하게 하여 공격쿼리가 들어간다해도 단순 문자열이 되어 공격 방어

    •  statement와는 다르게 쿼리문에서 전달인자 값을 ?로 받는 것

 

3) Error Message 노출 금지 

    •  데이터 베이스 에러 방생 시 따로 처리를 해주지 않았다면, 에러가 발생한 쿼리문과 함께 에러에 대한 내용을 반환해

        줍니다.

    •  여기서 테이블명 및 컬럼명 그리고 쿼리문이 노출될 수 있기 때문에, 데이터 베이스에 대한 오류 발생 시 사용자에게            보여줄 수 있는 페이지를 제작하거나 메시지 박스를 띄우도록 해야합니다. 

 

 

학습에 많은 도움이 된 블로그 링크를  참조했습니다. 🙂

 

참조 및 출처

[Database] SQL Injection - 개념, 공격 방법, 방어 방법

SQL Injection

SQL Injection 이란? (SQL 삽입 공격)