SQL Injection – AuctionPro

SQL Injection 공격은 악의적인 SQL 코드를 데이터베이스 쿼리에 삽입하여 데이터베이스를 조작하거나 민감한 정보를 탈취하는 공격입니다. SQL Injection을 방지하는 주요 방법은 아래와 같습니다:

1. 파라미터화된 쿼리 사용

앞서 제공한 예제에서처럼 파라미터화된 쿼리를 사용하면, SQL 명령문에서 데이터를 명령어와 분리하여 SQL Injection 공격을 막을 수 있습니다. 사용자 입력이 SQL 코드의 일부로 직접 조립되지 않도록 하며, 입력 데이터는 데이터베이스에 전달되기 전에 타입과 형식이 적절히 처리됩니다.

예제


public static string GetQuery(string SERVERTYPE, string ID)
{
    string connectionString = "your_connection_string_here"; // 연결 문자열 정의

    string query = "SELECT SERVERTYPE, ID, SERVICE, NUM, STATUS, PATH, FILENAME, NOTE " +
                   "FROM BasicCode.LOG_FILE " +
                   "WHERE SERVERTYPE = @SERVERTYPE AND ID = @ID";

    try
    {
        using (SqlConnection conn = new SqlConnection(connectionString))
        using (SqlCommand cmd = new SqlCommand(query, conn))
        {
            conn.Open();

            // SQL 파라미터 설정
            cmd.Parameters.AddWithValue("@SERVERTYPE", TktNo);
            cmd.Parameters.AddWithValue("@ID", ID);

            using (SqlDataAdapter sqlDataAdapter = new SqlDataAdapter(cmd))
            {
                DataSet payment = new DataSet();
                sqlDataAdapter.Fill(payment, "DATAS");

                XmlDocument xml = new XmlDocument();
                xml.PreserveWhitespace = true;
                xml.LoadXml(payment.GetXml());

                return xml.OuterXml;
            }
        }
    }
    catch (Exception)
    {
        // 단순히 예외를 다시 던져 스택 추적 유지
        throw;
    }
}

public static string GetQuery(string SERVERTYPE, string ID)

{

string connectionString = "your_connection_string_here"; // 연결 문자열 정의

string query = "SELECT SERVERTYPE, ID, SERVICE, NUM, STATUS, PATH, FILENAME, NOTE " +

"FROM BasicCode.LOG_FILE " +

"WHERE SERVERTYPE = @SERVERTYPE AND ID = @ID";

try

{

using (SqlConnection conn = new SqlConnection(connectionString))

using (SqlCommand cmd = new SqlCommand(query, conn))

{

conn.Open();

// SQL 파라미터 설정

cmd.Parameters.AddWithValue("@SERVERTYPE", TktNo);

cmd.Parameters.AddWithValue("@ID", ID);

using (SqlDataAdapter sqlDataAdapter = new SqlDataAdapter(cmd))

{

DataSet payment = new DataSet();

sqlDataAdapter.Fill(payment, "DATAS");

XmlDocument xml = new XmlDocument();

xml.PreserveWhitespace = true;

xml.LoadXml(payment.GetXml());

return xml.OuterXml;

}

catch (Exception)

{

// 단순히 예외를 다시 던져 스택 추적 유지

throw;

}

2. 스토어드 프로시저 사용

스토어드 프로시저 역시 SQL Injection을 방지할 수 있는 방법 중 하나입니다. 스토어드 프로시저는 SQL 코드를 데이터베이스에 미리 저장하고, 애플리케이션에서는 해당 스토어드 프로시저를 호출하기만 하므로, 실행할 SQL 코드를 외부에서 주입하기 어렵습니다.

예제

C#의 using 문은 IDisposable 인터페이스를 구현한 객체를 사용할 때 매우 유용합니다. SqlConnection, SqlCommand, SqlDataAdapter 등의 .NET 데이터 액세스 객체는 IDisposable을 구현하고 있어서, using 블록이 끝날 때 자동으로 Dispose 메서드가 호출됩니다. Dispose 메서드는 내부적으로 Close 메서드를 호출하여 데이터베이스 연결을 닫습니다.

따라서, using 문을 사용하면 명시적으로 Close()를 호출하지 않아도 연결이 안전하게 종료됩니다. 이는 코드를 더 간결하고 안전하게 만들어주며, 자원 해제를 자동으로 관리해주기 때문에 리소스 누수를 방지할 수 있습니다.

개선된 코드에서는 using 블록이 종료되면 자동으로 연결이 닫히기 때문에 sqlConnection.Close()를 호출할 필요가 없습니다. 이는 코드를 더욱 간결하고 오류를 줄일 수 있는 좋은 방법입니다.


public static string GetQuery(string ID, string PASSWD)
{
    string connectionString = "your_connection_string_here"; // 연결 문자열을 여기에 명시적으로 선언

    try
    {
        using (SqlConnection sqlConnection = new SqlConnection(connectionString)) // 연결 관리
        using (SqlDataAdapter sqlDataAdapter = new SqlDataAdapter("GetQuerySP", sqlConnection))
        {
            sqlDataAdapter.SelectCommand.CommandType = CommandType.StoredProcedure;

            // PNR 주소 파라미터 설정
            SqlParameter paramID = new SqlParameter("@ID", SqlDbType.VarChar, 6);
            paramID.Value = ID;
            sqlDataAdapter.SelectCommand.Parameters.Add(paramID);

            // 티켓 번호 파라미터 설정
            SqlParameter paramPASSWD = new SqlParameter("@PASSWD", SqlDbType.VarChar, 10);
            paramPASSWD.Value = PASSWD;
            sqlDataAdapter.SelectCommand.Parameters.Add(paramPASSWD);

            DataSet payment = new DataSet();
            sqlDataAdapter.Fill(payment, "DATAS");

            XmlDocument xml = new XmlDocument();
            xml.PreserveWhitespace = true;
            xml.LoadXml(payment.GetXml());

            return xml.OuterXml;
        }
    }
    catch (Exception) // 예외가 발생했을 경우 클라이언트에게 예외를 던지되, 스택 추적 유지
    {
        throw;
    }
}

public static string GetQuery(string ID, string PASSWD)

{

string connectionString = "your_connection_string_here"; // 연결 문자열을 여기에 명시적으로 선언

try

{

using (SqlConnection sqlConnection = new SqlConnection(connectionString)) // 연결 관리

using (SqlDataAdapter sqlDataAdapter = new SqlDataAdapter("GetQuerySP", sqlConnection))

{

sqlDataAdapter.SelectCommand.CommandType = CommandType.StoredProcedure;

// PNR 주소 파라미터 설정

SqlParameter paramID = new SqlParameter("@ID", SqlDbType.VarChar, 6);

paramID.Value = ID;

sqlDataAdapter.SelectCommand.Parameters.Add(paramID);

// 티켓 번호 파라미터 설정

SqlParameter paramPASSWD = new SqlParameter("@PASSWD", SqlDbType.VarChar, 10);

paramPASSWD.Value = PASSWD;

sqlDataAdapter.SelectCommand.Parameters.Add(paramPASSWD);

DataSet payment = new DataSet();

sqlDataAdapter.Fill(payment, "DATAS");

XmlDocument xml = new XmlDocument();

xml.PreserveWhitespace = true;

xml.LoadXml(payment.GetXml());

return xml.OuterXml;

}

catch (Exception) // 예외가 발생했을 경우 클라이언트에게 예외를 던지되, 스택 추적 유지

{

throw;

}

3. ORM (Object-Relational Mapping) 사용

ORM 프레임워크는 SQL 쿼리를 직접 작성하는 대신 객체 지향 방식으로 데이터베이스 작업을 수행할 수 있게 해주며, 대부분의 ORM 기술은 내부적으로 파라미터화된 쿼리를 사용합니다. 예를 들어 Entity Framework나 NHibernate 같은 ORM을 사용하면 SQL Injection 공격의 위험을 크게 줄일 수 있습니다.

4. 사용자 입력 검증

사용자 입력을 받는 모든 부분에서 입력 데이터를 적절히 검증해야 합니다. 이는 SQL Injection뿐만 아니라 다른 형태의 공격을 방지하는 데도 중요합니다. 입력 데이터에 대한 타입, 길이, 형식 등을 검증해야 하며, 예상치 못한 문자나 SQL 키워드가 포함되어 있지 않은지 확인해야 합니다.

5. 최소 권한 원칙 적용

데이터베이스 접근 권한을 최소화하는 것도 중요합니다. 각 애플리케이션 또는 사용자가 필요한 최소한의 데이터에만 접근할 수 있도록 권한을 제한해야 합니다. 예를 들어, 일부 데이터를 읽기만 필요한 서비스에게는 데이터 삽입, 수정, 삭제 권한을 부여하지 않는 것이 좋습니다.

이러한 방법들을 통합적으로 사용함으로써 SQL Injection 공격을 효과적으로 막을 수 있습니다.

파라미터화된 쿼리를 사용하면 SQL Injection 공격을 방지할 수 있는 이유는 데이터와 코드가 명확하게 분리되기 때문입니다. 이 접근법에서는 사용자 입력이 SQL 명령의 일부로 직접 조합되지 않고, 대신에 매개변수(placeholder)를 사용하여 SQL 명령을 미리 컴파일하고, 실행 시점에만 사용자 데이터를 SQL 명령에 바인딩합니다. 이 과정을 자세히 설명하면 다음과 같습니다:

1. 쿼리 분리

파라미터화된 쿼리는 SQL 코드와 사용자 입력을 분리합니다. SQL 명령문은 플레이스홀더(예: @Username, @Password)를 포함하고 있으며, 이는 후에 실행 단계에서 값이 할당됩니다. 이 방식으로, 사용자 입력이 SQL 명령의 일부가 되지 않고 단순한 값으로 처리됩니다.

2. 데이터 타입 검증

데이터베이스 엔진은 매개변수로 받은 데이터의 타입을 자동으로 검증합니다. 예를 들어, 숫자형 필드에 문자열이 전달되는 경우 자동으로 오류를 반환할 수 있습니다. 이는 SQL 명령이 예상치 못한 방식으로 변형되는 것을 방지합니다.

3. SQL 명령의 미리 컴파일

파라미터화된 쿼리는 데이터베이스에 의해 미리 컴파일될 수 있으며, 이렇게 함으로써 SQL 명령의 구조가 고정됩니다. 사용자 입력은 오로지 데이터로만 취급되며, SQL 명령의 일부로서 해석될 수 없습니다. 이는 악의적인 SQL 코드가 쿼리에 삽입되어 실행되는 것을 막습니다.

4. 특수 문자의 자동 이스케이핑

많은 데이터베이스 드라이버와 인터페이스는 매개변수화된 쿼리에서 자동으로 특수 문자를 이스케이프 처리합니다. 이는 사용자 입력에서 SQL 명령을 조작할 수 있는 특수 문자(예: 작은따옴표, 세미콜론 등)가 SQL 코드의 일부로 해석되는 것을 방지합니다.

예시


// 안전하지 않은 방법: 사용자 입력을 직접 쿼리에 삽입
string unsafeQuery = "SELECT * FROM users WHERE username = '" + userInput + "'";

// 파라미터화된 쿼리 사용: 사용자 입력을 매개변수로 처리
string safeQuery = "SELECT * FROM users WHERE username = @Username";
SqlCommand cmd = new SqlCommand(safeQuery, connection);
cmd.Parameters.AddWithValue("@Username", userInput); // 사용자 입력은 여기에서 안전하게 처리됩니다.

// 안전하지 않은 방법: 사용자 입력을 직접 쿼리에 삽입

string unsafeQuery = "SELECT * FROM users WHERE username = '" + userInput + "'";

// 파라미터화된 쿼리 사용: 사용자 입력을 매개변수로 처리

string safeQuery = "SELECT * FROM users WHERE username = @Username";

SqlCommand cmd = new SqlCommand(safeQuery, connection);

cmd.Parameters.AddWithValue("@Username", userInput); // 사용자 입력은 여기에서 안전하게 처리됩니다.

파라미터화된 쿼리를 사용하면 SQL Injection 공격의 가능성을 상당히 줄일 수 있으며, 이는 현대 웹 애플리케이션에서 기본적으로 채택되어야 하는 보안 관행입니다.

1=1 로 일때 했을때 왜 SQL Injection 발생하는가 ?

SQL Injection 공격이 발생하는 주된 원인은 애플리케이션의 사용자 입력을 적절히 검증하거나 산탄화하지 않아, 공격자가 애플리케이션을 통해 SQL 쿼리를 조작할 수 있게 되기 때문입니다. “1=1″은 SQL에서 항상 참이 되는 조건입니다. 공격자가 이 조건을 쿼리의 논리적 부분에 삽입하면, 의도치 않은 방식으로 쿼리의 행동을 변경할 수 있습니다.

예시를 통한 설명

예를 들어, 웹 애플리케이션에서 사용자 인증을 다음과 같은 SQL 쿼리로 처리한다고 가정해 보겠습니다:


SELECT * FROM users WHERE username = '사용자 입력' AND password = '사용자 입력'

SELECT * FROM users WHERE username = '사용자 입력' AND password = '사용자 입력'

안전하지 않은 사용자 입력 처리를 할 경우, 사용자가 로그인 폼에 다음과 같이 입력할 수 있습니다:

사용자 이름: admin’ —
비밀번호: 아무 값도 입력하지 않음

이 입력을 그대로 쿼리에 삽입하면 SQL 쿼리는 다음과 같이 변형됩니다:


SELECT * FROM users WHERE username = 'admin' --' AND password = ''

SELECT * FROM users WHERE username = 'admin' --' AND password = ''

여기서 –는 SQL에서 주석을 시작하는 표시입니다. 따라서 ‘ AND password = ” 부분은 주석 처리되어 실행되지 않습니다. 결과적으로, 이 쿼리는 단지 username = ‘admin’ 조건만을 검사하게 되어, 비밀번호를 검사하지 않고 admin 사용자로 로그인 할 수 있게 됩니다.

“1=1” 사용 시

“1=1″을 사용하는 공격 예는 다음과 같습니다:

사용자 이름 입력: anything’ OR ‘1’=’1
비밀번호 입력: 아무 값도 입력하지 않음

이 경우 SQL 쿼리는 다음과 같이 변형됩니다:


SELECT * FROM users WHERE username = 'anything' OR '1'='1' AND password = ''

SELECT * FROM users WHERE username = 'anything' OR '1'='1' AND password = ''

“1=1” 조건은 항상 참이므로, 이 쿼리는 모든 사용자를 반환할 가능성이 높습니다. 결과적으로, 공격자는 비밀번호를 모르더라도 어떤 계정으로든 로그인할 수 있게 됩니다.

방지 방법

파라미터화된 쿼리 사용: 사용자 입력을 쿼리의 파라미터로 전달하여, 입력이 SQL 코드의 일부로 해석되지 않도록 합니다.
입력 검증: 사용자 입력에 대해 엄격한 유효성 검사를 수행하고, 예상 가능한 값만 허용합니다.
최소 권한 원칙 적용: 데이터베이스 사용자 권한을 최소화하여, 공격이 성공하더라도 피해를 최소화합니다.
에러 메시지 관리: SQL 쿼리 오류 메시지가 사용자에게 보여지지 않도록 하여, 공격자가 시스템 정보를 수집하는 것을 방지합니다.

이러한 보안 조치들을 통해 SQL Injection 공격을 효과적으로 방지할 수 있습니다.

파라미터화된 쿼리를 사용하면 SQL Injection 공격을 대부분 막을 수 있습니다. 파라미터화된 쿼리는 사용자 입력을 SQL 명령의 일부로 직접 조합하는 대신에, 매개변수를 사용해 독립적으로 SQL 명령과 데이터를 처리합니다. 이는 사용자 입력이 SQL 코드로 해석되는 것을 방지합니다.

작동 원리

파라미터화된 쿼리는 SQL 명령이 데이터베이스에 컴파일될 때 이미 구조가 결정되어 있기 때문에, 사용자 데이터는 문자열이나 숫자 등의 데이터로만 처리되며, SQL 코드의 일부로 실행될 수 없습니다. 예를 들어, 공격자가 입력란에 “1=1″이나 “` OR ‘1’=’1″와 같은 조건을 입력하더라도, 이 입력은 단순한 문자열 데이터로 간주되고, SQL 명령의 일부로서 실행되지 않습니다.

예시

파라미터화된 쿼리를 사용하는 방식을 예로 들어보겠습니다. 사용자가 로그인 폼에 사용자 이름을 입력하는 경우를 생각해 봅시다:


string userQuery = "SELECT * FROM users WHERE username = @username AND password = @password";
SqlCommand command = new SqlCommand(userQuery, connection);
command.Parameters.AddWithValue("@username", username);  // 사용자 입력
command.Parameters.AddWithValue("@password", password);  // 사용자 입력

string userQuery = "SELECT * FROM users WHERE username = @username AND password = @password";

SqlCommand command = new SqlCommand(userQuery, connection);

command.Parameters.AddWithValue("@username", username); // 사용자 입력

command.Parameters.AddWithValue("@password", password); // 사용자 입력

여기서 username과 password는 사용자로부터 입력받은 값이지만, 이들은 SQL 명령의 일부가 아닌 매개변수로 전달됩니다. 따라서 “admin’ –” 또는 “anything’ OR ‘1’=’1″과 같은 입력이 들어와도 SQL 명령이 변경되지 않으며, 해당 문자열은 단순한 조건 값으로만 처리됩니다.

안전성 강화

파라미터화된 쿼리는 SQL Injection을 매우 효과적으로 방지하지만, 이 외에도 여러 보안 수칙을 동시에 적용하는 것이 좋습니다. 이러한 수칙에는 사용자 입력 검증, 권한 기반의 데이터 접근, 애플리케이션의 보안 로그 감사 등이 포함됩니다. 이러한 방법들을 종합적으로 사용함으로써 애플리케이션의 보안을 한층 더 강화할 수 있습니다.

SQL 쿼리의 조건에서 사용된 논리적 구성을 이해하는 것은 중요합니다. 주어진 쿼리:


SELECT * FROM users WHERE username = 'anything' OR '1'='1' AND password = ''

SELECT * FROM users WHERE username = 'anything' OR '1'='1' AND password = ''

이 쿼리는 SQL의 논리 연산자 우선순위를 고려할 때 어떻게 해석되는지 확인해야 합니다. SQL에서는 AND 연산자가 OR 연산자보다 높은 우선순위를 가집니다. 따라서 이 쿼리는 다음과 같이 괄호를 적용한 것과 같은 방식으로 해석됩니다:


SELECT * FROM users WHERE username = 'anything' OR ('1'='1' AND password = '')

SELECT * FROM users WHERE username = 'anything' OR ('1'='1' AND password = '')

True/False 값 평가:

‘1’=’1′: 이 조건은 항상 참입니다. 즉, 이 부분은 무조건 True를 반환합니다.
AND password = ”: 이 조건은 password 필드가 빈 문자열인 경우에 참입니다.
‘1’=’1′ AND password = ”: 따라서 이 전체 조건은 password 필드가 빈 문자열일 때만 참입니다.
username = ‘anything’: 이 조건은 username 필드가 ‘anything’으로 설정된 레코드에 대해 참입니다.
username = ‘anything’ OR (‘1’=’1’ AND password = ”): 이 전체 조건은 username이 ‘anything’이거나 password가 빈 문자열인 모든 레코드에 참이 됩니다.

결과적으로:

이 쿼리는 데이터베이스에서 username이 ‘anything’인 모든 레코드를 선택하거나, 모든 사용자 중 password가 빈 문자열인 레코드를 선택합니다. ‘1’=’1’이 항상 참이기 때문에, AND password = ” 조건과 결합될 때에만 유효한 참이 됩니다. 하지만 OR 연산자 때문에, username = ‘anything’이 참인 경우에는 password의 값에 상관없이 해당 레코드가 선택됩니다.

이러한 쿼리는 SQL Injection의 전형적인 예로 사용될 수 있으며, 파라미터화된 쿼리를 사용하지 않는 경우 보안에 취약합니다.