SQL 인젝션이란?

SQL 인젝션이란?

2024. 12. 5. 00:30ㆍ카테고리 없음

SQL 인젝션 (SQL Injection)

1. SQL 인젝션의 개요

SQL 인젝션(SQL Injection)은 데이터베이스와 상호작용하는 웹 애플리케이션에서 발생할 수 있는 보안 취약점입니다. 공격자는 애플리케이션이 사용자로부터 받은 입력을 적절히 검증하거나 처리하지 않은 경우, SQL 쿼리문에 악의적인 SQL 코드를 삽입하여 데이터베이스에 접근하거나 조작할 수 있습니다. 이를 통해 공격자는 데이터베이스에 저장된 중요한 정보에 접근하거나 삭제, 수정, 또는 조작할 수 있습니다.

SQL 인젝션은 웹 애플리케이션 보안의 대표적인 취약점 중 하나로, OWASP Top 10에도 포함된 보안 취약점입니다.

2. SQL 인젝션의 작동 원리

SQL 인젝션 공격은 애플리케이션이 사용자로부터 입력받은 데이터를 SQL 쿼리문에 삽입할 때 발생합니다. 만약 이 입력이 제대로 필터링되지 않으면, 공격자가 악성 SQL 코드를 삽입하여 데이터베이스에서 원래 의도된 것과는 다른 동작을 유발할 수 있습니다.

(1) 공격 방식

사용자 입력 필드: SQL 인젝션은 보통 웹 애플리케이션의 사용자 입력을 받을 수 있는 필드를 통해 이루어집니다. 예를 들어, 로그인 폼, 검색창, URL 파라미터 등에서 입력을 받습니다.
쿼리 실행: 사용자가 입력한 데이터는 SQL 쿼리문의 일부로 삽입되어 실행됩니다. 만약 사용자의 입력을 필터링하지 않거나 유효성 검사를 하지 않으면, 공격자는 쿼리에 악의적인 SQL 구문을 삽입할 수 있습니다.
악성 SQL 코드 삽입: 예를 들어, 로그인 폼에서 사용자 이름과 비밀번호를 입력하는 과정에서, 공격자는 OR 1=1과 같은 SQL 구문을 삽입하여 조건을 항상 참으로 만들어 데이터베이스를 제어할 수 있습니다.

예시:

정상적인 SQL 쿼리:
sql

SELECT * FROM users WHERE username = 'admin' AND password = 'password';
공격자가 입력한 값:
- username = 'admin' OR 1=1; --
- password = 'anything'
공격 후 쿼리:이 쿼리는 항상 TRUE를 반환하므로, 공격자는 비밀번호와 관계없이 로그인할 수 있습니다.
sql

SELECT * FROM users WHERE username = 'admin' OR 1=1; --' AND password = 'anything';

3. SQL 인젝션의 유형

SQL 인젝션은 여러 가지 방식으로 수행될 수 있으며, 각 유형에 따라 공격의 목표가 다릅니다.

(1) Classic SQL Injection

사용자가 입력한 데이터를 SQL 쿼리에 그대로 삽입하여 쿼리를 조작합니다.
위에서 설명한 OR 1=1 공격이 대표적인 예입니다.

(2) Blind SQL Injection

데이터베이스의 실제 결과를 직접 확인할 수 없지만, 응답 시간이나 에러 메시지를 기반으로 쿼리의 성공 여부를 판단하여 공격을 수행합니다.
True/False 쿼리를 통해 데이터베이스를 탐색합니다.
예: SELECT * FROM users WHERE username = 'admin' AND 1=1; (참) / SELECT * FROM users WHERE username = 'admin' AND 1=2; (거짓)

(3) Error-based SQL Injection

공격자가 오류 메시지를 이용해 데이터베이스 구조나 내부 정보를 유출받습니다.
예를 들어, 쿼리 오류 메시지를 통해 테이블 구조나 필드 이름을 추측할 수 있습니다.
공격자가 SELECT * FROM users WHERE username = 'admin' 등과 같은 쿼리를 삽입해 오류 메시지를 유도하고, 그 메시지에서 유용한 정보를 추출할 수 있습니다.

(4) Union-based SQL Injection

UNION SQL 연산자를 이용해 여러 개의 SELECT 쿼리를 결합하여, 데이터베이스의 다른 테이블 데이터를 추출합니다.
공격자는 쿼리의 결과로 다른 테이블의 데이터를 반환받을 수 있습니다.

(5) Second-Order SQL Injection

첫 번째 공격에서 발생한 결과가 쿼리나 데이터베이스 내에서 다른 쿼리를 유발하여 취약점을 발생시킵니다.
예를 들어, 공격자가 입력한 악성 데이터가 저장된 후, 나중에 해당 데이터가 쿼리에 사용되어 실행됩니다.

4. SQL 인젝션의 위험성

SQL 인젝션은 매우 위험한 공격으로, 공격자가 데이터베이스의 정보를 탈취하거나 수정할 수 있게 만듭니다. 그로 인해 다음과 같은 심각한 결과를 초래할 수 있습니다:

데이터 유출: 공격자는 데이터베이스에서 중요한 개인정보나 기밀 정보를 쉽게 얻을 수 있습니다. 예를 들어, 사용자의 로그인 정보, 결제 정보 등을 탈취할 수 있습니다.
데이터 삭제 또는 수정: 공격자는 데이터베이스의 데이터를 삭제하거나 변경하여 비즈니스에 심각한 영향을 미칠 수 있습니다.
시스템 권한 탈취: SQL 인젝션을 통해 시스템에서 관리자 권한을 탈취하거나, 시스템에 악성 코드를 삽입하여 전체 시스템을 장악할 수 있습니다.
서비스 거부 공격 (DoS): 데이터베이스 서버를 과부하 상태로 만들어 서비스 거부(DoS)를 일으킬 수 있습니다.
코드 실행: 악성 SQL 쿼리를 삽입하여 서버에서 코드를 실행하거나 파일을 삭제하는 등의 피해를 일으킬 수 있습니다.

5. SQL 인젝션 방어 방법

SQL 인젝션을 방어하기 위해서는 애플리케이션과 데이터베이스 간의 상호작용을 안전하게 처리하는 것이 중요합니다. 다음은 SQL 인젝션 방어를 위한 주요 방법입니다:

(1) 사용자 입력 필터링 및 검증

사용자로부터 받은 입력에 대해 유효성 검사를 수행하고, 의도하지 않은 문자가 포함되지 않도록 필터링합니다. 예를 들어, ', --, ; 등 SQL 문법에 영향을 미칠 수 있는 문자를 차단합니다.

(2) 준비된 쿼리 (Prepared Statements)

준비된 쿼리 또는 파라미터화된 쿼리를 사용하여 SQL 쿼리문을 구성합니다. 이 방법은 사용자 입력을 쿼리의 변수로 처리하여, SQL 코드가 아닌 데이터로만 처리되게 만듭니다. 이를 통해 SQL 인젝션을 원천적으로 차단할 수 있습니다.
- 예시 (Python, MySQL):
  
  python
  
  cursor.execute("SELECT * FROM users WHERE username = %s AND password = %s", (username, password))

(3) ORM (Object-Relational Mapping) 사용

ORM을 사용하면, 데이터베이스와 상호작용할 때 자동으로 안전한 SQL 쿼리를 생성하도록 할 수 있습니다. 이를 통해 개발자가 SQL 쿼리를 직접 작성하는 위험을 줄일 수 있습니다.

(4) 최소 권한 원칙

데이터베이스 사용자에게 최소 권한만 부여하여, 공격자가 SQL 인젝션을 통해 권한 상승을 시도하는 것을 방지합니다. 예를 들어, 읽기 전용 권한을 가진 사용자만 사용하도록 설정할 수 있습니다.

(5) 에러 메시지 처리

데이터베이스 오류 메시지가 사용자가 보지 않도록 처리합니다. 공격자가 오류 메시지를 통해 시스템 정보를 추측할 수 있기 때문에, 사용자에게는 일반적인 오류 메시지나 에러 코드만 표시해야 합니다.

(6) 웹 애플리케이션 방화벽 (WAF)

웹 애플리케이션 방화벽을 사용하여 SQL 인젝션 공격을 탐지하고 차단하는 방법도 효과적입니다.

(7) 데이터베이스 보안 패치 적용

데이터베이스 관리 시스템(DBMS)에서 제공하는 최신 보안 패치를 적용하여 알려진 취약점을 악용하는 공격을 방지할 수 있습니다.

6. SQL 인젝션의 사례

(1) Sony Pictures 해킹 (2014)

SQL 인젝션을 이용하여 공격자가 Sony Pictures의 시스템에 침입, 회사의 민감한 데이터를 탈취하고 대규모 데이터 유출을 일으켰습니다.

(2) Heartland Payment Systems (2008)

SQL 인젝션 공격을 통해 신용카드 정보가 유출된 사건으로, 1억 3천만 건 이상의 신용카드 정보가 유출되었습니다.

SQL 인젝션은 매우 강력하고 위험한 공격 기법으로, 데이터베이스와 관련된 애플리케이션에서 매우 중요한 보안 취약점입니다. 이 공격을 방지하려면 사용자 입력에 대한 적절한 검증과 필터링, 파라미터화된 쿼리 사용 등 여러 보안 기법을 적용해야 합니다. SQL 인젝션을 예방하는 것은 애플리케이션 보안의 핵심이며, 이를 통해 중요한 데이터의 유출과 시스템의 제어를 방지할 수 있습니다.

지식 블리츠