Sql 인젝션 ${} 변경 문제

Question

시퀀스값을 가져오기 위해 아래와 같이 시퀀스 명을 파라미터로 넘기고 있습니다Select ${seqnm}.NEXTVAL FROM DUAL근데 ${} 부분에서 SQL INJECTION이 검출 되고있어서 해당 소스를 수정해야 하는데 어떻게 바꿔야 할까요?시퀀스 명을 넣는거라 #{}으로 변경은 안되고각 시퀀스별로 dao를 생성하기엔 시퀀스가 너무 많습니다좋은 방법 있으시면 알려주세요

양반후반 · Accepted Answer

${}가 분명 sql 인잭션의 위험이 있는것은 맞습니다. 그럼에도 불구하고 마이바티스에서 왜 해당 표현식을 계속 남겨두고 있을까요? sql 인잭션은 외부에서 들어온 input 데이터를 ${}로 사용했을때 발생하는겁니다. 내부에서 로직에 의해 생성된 값이 ${}를 사용한다고 sql 인잭션이 될까요? 만약 그렇다면 그건 개발자가 소스코드에 직접 악성 코드를 심어놓은거가 되겠죠. 이게 보안팀에서 툴 돌렸더니 보안취약성에 걸렸으니 수정해라 하는거라면 이 부분에 우선은 설명하고 예외 하는 방향으로 시도를 해봐야 할것이고, 막무가내로 모르겠고 수정해라 하면 별 수 없죠.

kenu,전독시 · Answer

Validation 및 Whitelisting: 입력된 시퀀스 이름을 검증하여 허용된 목록(Whitelist)에 있는 시퀀스 이름만을 사용하도록 합니다. 이는 SQL Injection 외에도 예상치 못한 입력 값에 대한 방어적인 구조를 만들 수 있습니다.예를 들어, Java에서 switch 문을 사용하여 특정 시퀀스들만 처리할 수 있습니다:sequence 검증 로직만 앞에 추가하면 되지 않을까요?String seqName = "your_sequence_name";switch(seqName) { case "seq1": // seq1 처리 로직 break; case "seq2": // seq2 처리 로직 break; default: throw new IllegalArgumentException("잘못된 시퀀스 이름입니다.");}

xml개발자 · Answer

seqnm 이라는 변수를 서버 외부로부터 받지 않으면 가능합니다.서버 내에서 생성되는 변수로만 사용하면 됩니다.서버 외부에서 받아야하는 경우는 그 변수가 '정확히 일치'하는 지 검증 로직을 추가하시면 됩니다.

장독깨기 · Answer

직접 작성한 sql 문을 실행하는 방법을 한 번 찾아보세요.SqlProvider 로 검색해보면 될 거 같습니다.

Sql 인젝션 ${} 변경 문제

4개의 답변

Q&A 목록