3.6 SQL Injection 개념과 예방

SQL Injection이란?

SQL Injection은 공격자가 악의적인 SQL 코드를 사용하여 데이터베이스에 대한 비정상적인 접근을 시도하는 방법입니다. 이 공격 방식에 의해 데이터 유출, 데이터 삭제 및 변조 등 여러 가지 문제가 발생할 수 있습니다.

예를 들어, 웹 애플리케이션이 사용자 입력을 이용하여 SQL 쿼리를 생성할 때, 사용자 입력을 제대로 검사하거나 필터링하지 않으면 공격자가 시스템을 악용할 수 있는 경로를 제공하게 됩니다.

SQL Injection 공격 예시

아래는 SQL Injection으로 이루어진 간단한 공격 예시입니다.

가정: 사용자가 로그인하기 위한 간단한 폼이 있다고 합시다. 사용자가 입력한 아이디와 비밀번호를 기준으로 유저를 확인하는 SQL 문은 다음과 같습니다.

SELECT * FROM users WHERE username = 'user_input' AND password = 'password_input';

이때, 사용자가 user_input에 admin' -- 을 입력하면 다음과 같은 쿼리가 실행됩니다:

SELECT * FROM users WHERE username = 'admin' -- ' AND password = 'password_input';

여기서 --는 SQL에서 주석을 시작하는 기호이기 때문에, 비밀번호 검사는 무시되고 항상 admin 유저가 확인됩니다.

SQL Injection 예방 방법

1. 파라미터화된 쿼리 사용: SQL 쿼리를 실행하기 전에 먼저 입력 값에 대해 특정한 데이터 형식으로 변환하여 쿼리를 구성해야 합니다. 이는 SQL 명령어가 직접 실행되는 것을 방지합니다.

   PREPARE stmt FROM 'SELECT * FROM users WHERE username = ? AND password = ?';
   SET @a = user_input;
   SET @b = password_input;
   EXECUTE stmt USING @a, @b;
   

2. 입력 값 검증: 사용자로부터 입력받는 값을 항상 검증하여 유효한 범위 내에 있는지 확인해야 합니다. 예를 들어, 이메일 주소, 전화번호 등은 정규 표현식을 사용하여 확인할 수 있습니다.

3. 최소 권한 원칙 적용: 데이터베이스 사용자 계정에 최소한의 권한만 부여하여, 공격자가 데이터베이스에 접근하더라도 피해를 최소화할 수 있도록 합니다.

4. 정기적인 보안 감사 및 업데이트: 사용하고 있는 데이터베이스 관리 시스템(DBMS)과 사용하는 라이브러리에 대한 정기적인 보안 감사와 업데이트를 통해 알려진 취약점을 해결해야 합니다.

실습 문제

1. SQL Injection 공격이 가능한 형태를 제시하고, 이에 김진입할 수 있는 SQL 문을 만들어 보세요.
2. 파라미터화된 쿼리로 앞서 제시한 SQL 문을 수정해 보세요.

응용 과제

• 다양한 입력값으로 SQL Injection을 시도해보고, 그에 대한 예방 방법을 정리해 보세요.
• 실제로 데이터베이스에서 데이터를 삽입하고 수정할 때 SQL Injection을 방지하여 안전하게 하는 방법을 찾아보세요.

정리

SQL Injection은 웹 애플리케이션에서 매우 치명적인 공격 방법입니다. 예방을 위해서는 항상 사용자 입력을 신뢰하지 말고, 데이터베이스 쿼리를 이루는 방식을 안전하게 설정해야 합니다. 이 강의를 통해 데이터베이스의 기본 구조와 함께 SQL Injection의 위협을 인지하고 예방하는 방법을 학습하였다면, 데이터베이스 보안 강화를 위한 기초적인 지식을 갖춘 것입니다.