SQL Injection: 원리, 탐지, 방어

SQL Injection은 사용자 입력이 검증 없이 SQL 쿼리 문자열에 그대로 합쳐질 때 발생한다. 지금도 CTF뿐 아니라 실제 서비스에서 가장 자주 나오는 취약점 중 하나다.

원리

취약한 코드는 대략 이런 식이다.

SELECT * FROM users WHERE username = '$username' AND password = '$password'

$username에 ' OR '1'='1을 넣으면 쿼리가 다음처럼 바뀐다.

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '...'

'1'='1'은 항상 참이므로 인증 로직 전체가 무력화된다. 이건 가장 고전적인 예시일 뿐이고, 실제로는 UNION 기반으로 다른 테이블 데이터를 뽑아내거나, 응답이 눈에 안 보일 때는 Blind SQLi로 참/거짓 또는 응답 시간 차이를 이용해 한 글자씩 데이터를 빼낸다.

종류

• In-band (Union-based, Error-based): 결과가 응답에 그대로 노출되거나 에러 메시지에 정보가 새는 경우
• Blind (Boolean-based): 참/거짓에 따라 응답 내용이 달라지는 걸로 판단
• Blind (Time-based): SLEEP(5) 같은 구문을 넣어 응답 지연 유무로 판단 — 응답 내용이 전혀 달라지지 않을 때 마지막 수단
• Out-of-band: DNS/HTTP 콜백으로 데이터를 외부로 유출 (DB가 외부 네트워크 요청을 지원할 때)

탐지 방법

1. 모든 입력 지점(파라미터, 헤더, 쿠키까지)에 ', ", ) 같은 특수문자를 넣어 에러 반응 확인
2. 에러가 안 보이면 AND 1=1 / AND 1=2 페어로 응답 차이 확인 (Boolean-based)
3. 그래도 차이가 없으면 AND SLEEP(5)로 시간 지연 확인 (Time-based)
4. sqlmap -u "<url>" --batch로 자동화하되, 어디서 어떻게 판단했는지는 직접 이해하고 있어야 오탐/false negative를 줄일 수 있다

방어

• 파라미터화된 쿼리(Prepared Statement)가 유일한 근본 해법이다. 문자열 이스케이프나 블랙리스트 필터링은 우회당한다.
• ORM을 쓰더라도 raw query나 문자열 조합 메서드를 쓰면 그 순간 다시 취약해진다.
• DB 계정 권한을 최소화해서, 뚫려도 피해 범위를 줄인다 (읽기 전용 계정, 불필요한 테이블 접근 차단).
• 에러 메시지에 쿼리문/스택트레이스를 그대로 노출하지 않는다.