해킹기술 보고서 , 해킹, 인젝션

목차

Ⅰ. SQL 인젝션?
Ⅱ. 공격 방법
Ⅲ. 피해 사례
Ⅳ. 예방 방법
Ⅴ. 결 론
참고문헌

본문내용

SQL Injection은 일반적으로 데이타 베이스에 접근하는 웹어플리케이션에서 SQL query문에 대한 문자열을 필터링 하지 않고 바로 데이타베이스로 넘기는 것이 가능한 점을 이용한 exploit 방법의 일종이다. 하지만 SQL Injection이 꼭 웹어플리케이션에서만 일어난다고 볼수 는 없다. 다른 종류의 어플리케이션의 경우에도 SQL Injection 버그를 가지고 있을 경우가 얼마든지 있다.
데이타 베이스에 따라서는 이러한 SQL Injection을 통해서 시스템 레벨의 권한을 획득하는 것이 가능하기도 하고, 데이타 베이스 내의 테이블을 조작하거나 내용을 유출 시킬수 있는 가능성도 존재한다.
이러한 SQL Injection은 현재 인터넷 상에서 구동되는 많은 웹어플리케이션에서 발견할 수 있으며 특히 MSSQL을 데이타베이스로 사용하였을 경우에 데이타베이스 사용자의 권한이 허락한다면 시스템 명령을 바로 실행 시킬 수 있다.

<중 략>

1)입력 값 검증-
(1) 파라메터가 숫자인 경우, isnumeric과 같은 함수를 이용하여 검증한다.
(2) 파라메터가 문자인 경우, 정규 표현식을 통해 단일 따옴표를 치환한다. (‘ 의 경우 \’이나 ‘’과 같이 단일 따옴표를 무력화 시키며 그 외에도 “나 or 그리고 SQL문의 종료를 가리키는 ; 의 경우도 SQL injection을 일으킬 가능성이 있으므로 치환해야 한다. )

2)웹 방화벽 설치-
Web Knight등 웹 방화벽을 설치하면 SQL Injection 기초적인 공격들은 모두 방어할 수 있다.

<중 략>

화면에 나타난 결과를 통해 싱글쿼터(‘)를 대입하여 요청한 URL 파라미터 값이 DB에 전달되어 오류가 발생되었고, 오류 발생 으로 정상적인 결곽받을 Web Application에서 전달 받지못해 오류가 발생된 것으로 추측 가능하다.

참고 자료

없음