SQL Injection 및 로그인에 관련된 질문입니다.

Question

회사 내에서 운영 중인 사이트들에 대한 보안 점검 차원에서 SQL Injection기법에 대해 공부하고 있었습니다.(오래 된거긴 하지만 기초적인 차원에서 시도해봤습니다.)SELECT ID, PWD FROM MEMBER WHERE ID&#61; '' OR 1&#61;1이러한 종류의 쿼리문들을 통해 데이터베이스에서 사용자 정보 관련 데이터들을 다 뽑아내는 것을 확인했고, 로그인 화면에서 아래와 유사한 형식으로 로그인 우회 시도를 해봤습니다. 아이디 부분 : 1비밀번호 부분 : 1 or 1&#61;1 하지만 위와 같은 시도들은 로그인 성공에 통하지 않았는데요. 우선 사이트 코드에 대해 쿼리 내 사용자 아이디, 비밀번호에 대해 #{}으로 구성되어 있고비밀번호의 경우 AES256 기법으로 암호화되어 있습니다. 위와 같은 환경에서 로그인 시도 관련해서 SQL Injection 관련 괜찮은 방법들이 있는지 궁금합니다.

woo.s.o · Answer

일단 파라미터의 공백 유효성 체크는 필수 입니다.그리고 나서 파라미터에서 서브 쿼리 및 UNION,etc 등등 입력값에 대한 검증 및 치환을 하셔야 하구요아래 사이트에서 한번 참고 해보세요https://noirstar.tistory.com/264

참교육 · Answer

woo.s.o 파라미터 서브쿼리, UNION 관련 시도는 안해봤네요. 한번 참고해서 해보겠습니다. 감사합니다.

신히 · Answer

SQL 인젝션 공격이 가능하려면 Dynamic Query로 작성되어 있어야 합니다.PreparedStatement로 작성되어 있을 경우 공격이 되지 않습니다.우선 어떤 방식으로 쿼리를 호출하는지 봐야됩니다.

howoni123 · Answer

vector 가 확실할 경우에는 해당 취약점을 이용해서 다양한 기법을 사용할 수 있는데한정된 질문내용으로만 봐서 말씀드릴때 말씀하신 부분에 있어서는 안될 수도 있습니다. select id, pwd from test where id &#61; '{$1}' and pwd &#61; '{$2}'$1 &#61;[ ' or '1'&#61;'1 ] , $2&#61; 입력없음> select id, pwd from tst where id &#61; '' or '1'&#61;'1' and pwd &#61; ''인데 and pwd 때문에 결과값이 없습니다.이경우에는 $1 &#61; [ ' or 1&#61;1 -- ] , $2&#61;입력없음> select id, pwd from tst where id &#61; '' or 1&#61;1 -- ( and pwd &#61; '' ) 요부분은 주석때문에 검증안함. 가끔 보안목적으로 서브쿼리 사용하시는 분들있는데 이 경우에는 안될수도 있어요select id from (select id from tst where id&#61;'$1' and pwd&#61;'$2') b where id &#61; '$1';$1 &#61; [ ' or 1&#61;1 -- ] , $2&#61;입력없음> select id from (select id from tst where id &#61;'' or 1&#61;1 -- and pwd &#61; '' ) b where id &#61; '' or 1&#61;1 --;괄호 안 닫음으로 인해 syntax error 발생.물론 이 방법이 안전한건 아녜요 하지만 Error로 보여지는걸 통해 Guessing 이 충분히 가능한 범위니깐요... SQLi 보안 방법중 가장 쉽게 목적달성을 위해서라면 Prepare Statement 를 활용해주세요

참교육 · Answer

신히 howoni123 답변 감사합니다. 답변을 읽으면서 Prepared Statement 관련해서 궁금한 점이 한 가지 생겼는데요. 현재 사이트는 Spring으로 구성되어 있고, xml 쿼리 부분 관련 column들에 대해서 #{}으로 형성되어 있습니다. sql에 대해 mybatis를 이용하고 있는데요. 한 가지 예시를 들어보면 다음과 같습니다. https://java119.tistory.com/39위 사이트에서 찾아본 바에 의하면 #{} 사용시 PreparedStatement가 생성되는 것으로 파악했습니다.(반면 ${}는 Statement를 사용하여 보안상 매우 취약하다 하더라고요.) 그렇다면 들어오는 데이터들은 문자열로 인식되어 '가 붙으니까 사이트 코드들에 대하여 SQL Injection 방지에 성공적인 것이라고 볼 수 있을까요?

참교육 · Answer

아 #{}과 ${}차이를 알아보니까 #{}를 사용하여 PreparedStatement가 생성되는 것이 맞네요. 다들 답변 감사합니다.

SQL Injection 및 로그인에 관련된 질문입니다.

6개의 답변

Q&A 목록