5/31[TIL] SQL Injection 이란 무엇이며 어떻게 막을 수 있을까요?

우선 SQL Injection이 무엇인지와

이로 인한 사례, 예시들을 보고 이를 어떻게 하면 막을 수 있는지 알아보기로 하자.

 

SQL Injection이란?

출처 : https://thegoodhacker.com/posts/sql-injection-laravel-query-builder/

  응용 프로그램 보안 상의 허점을 의도적으로 이용해, 악의적인 SQL문을 실행되게 함으로써 데이터베이스를 비정상적으로 조작하는 Code Injection 공격 방법이다. 대부분 클라이언트가 입력한 데이터를 제대로 필터링하지 못하는 경우에 발생하며 공격의 난이도에 비해 피해가 상당하기 때문에 보안 위협 1순위로 불릴 만큼 중요한 기법이다. Injection 공격은 OWASP Top 10 중 제일 상위 1위에 속해 있어 간과할 수 없다.

 

  OWASP는 오픈소스 웹 애플리케이션 보안 프로젝트로 주로 웹에 관한 정보노출, 악성 파일 및 스크립트, 보안 취약점 등을 연구하는데 10대 웹 애플리케이션의 취약점 Top 10을 발표했다. 여기에 Injection 공격이 들어가 있는 것이다.

 

  SQL Injection의 피해사례로는 과거의 '소니, 네이트, 넥슨' 의 정보유출 및 해킹 사건이 있으며 제일 최근에 알려진 바에 의하면 '여기 어때' 또한 SQL Injection으로 많은 피해를 보았다.

 

SQL Injection공격은 왜 발생하는 것일까?

  이를 근본적으로 생각해보았는데 통상적으로 웹 애플리케이션은 클라이언트의 행동(클릭, 입력 등)에 따라 DB에 있는 데이터를 서로 다르게 표시하게 된다. 이를 위해 Query는 User가 입력한 데이터를 포함하여 Dynamic 하게 변하므로 개발자가 의도하지 않은 정보를 열람할 수 있게 되어 발생한다고 한다.

 

SQL Injection 피해가 생기는 시나리오를 순차적으로 정리해보자면

  예를 들어 각 클라이언트들의 인적정보를 조회 할 수 있는 시스템이 존재하는데 통상적으로 SQL 로직은 ABC라는 클라이언트가 있을 때 인적정보라는 버튼을 클릭하게 되면 ABC라는 이름이 웹 서버에 들어가게 되고 DB에 입력한 값이 있는지 유무를 확인 후 있다면 인적정보를 출력해주는 식이다. 여기에서 XYZ라는 클라이언트는 위의 경우를 보자면 자신의 XYZ를 조회해야 되는데 SQL 문을 변경하여 ABC(타인)의 인적정보를 조회한다는 것이다.

 

  예를 들어 ABC의 인적정보 버튼 클릭 시 해당 URL이 https://userinfo.com/mysearch?=ABC 가 된다고 보면 XYZ의 경우에도 https://userinfo.com/mysearch?=XYZ 가 되는데 해커 입장에서의 XYZ는 뒤의 자신의 XYZ를 ABC로 바꾸어야 하는 것이 맞는데 단순히 변경하는 것만으로는 현재 로그인된 자신과는 다르기에 서버에서는 인정하지 않는다. 그렇기에 특정 Query문을 넣어주는데 너무나 간결한 코드이다.

 

  아래 코드를 보자면 'OR' 1 '=' 1 를 끝에 추가하여 1과 1이 같으면 True이고, OR은 어느 것 중 하나라도 True 일시 True 이기 때문에 이 Query문으로 로그인을 할 수 있게 된다.

 

 

SELECT * FROM CLIENT WHERE NAME='ABC' AND PASSWORD='123123'
 
SELECT * FROM CLIENT WHERE NAME='ABC' AND PASSWORD='OR'1'='1