SQL 삽입 공격에 대한 설명으로 옳지 않은 것은? | [9급 지방직 정보보호론] 20년 1회차 기출문제 상세 페이지
1[9급 지방직 정보보호론] 20년 1회차
SQL 삽입 공격에 대한 설명으로 옳지 않은 것은?
1
사용자 요청이 웹 서버의 애플리케이션을 거쳐 데이터베이스에 전달되고 그 결과가 반환되는 구조에서 주로 발생한다.
2
공격이 성공하면 데이터베이스에 무단 접근하여 자료를 유출하거나 변조시키는 결과가 초래될 수 있다.
3
사용자의 입력값으로 웹 사이트의 SQL 질의가 완성되는 약점을 이용한 것이다.
4
자바스크립트와 같은 CSS(Client Side Script) 기반 언어로 사용자 입력을 필터링하는 방법으로 공격에 대응하는 것이 바람직하다.
해설
클라이언트 측 스크립트(자바스크립트 등)로 입력을 필터링하는 방식은 바람직한 대응이 아니다.
클라이언트 측 검증은 공격자가 브라우저 설정이나 프록시 도구로 쉽게 우회할 수 있으므로, 입력값 검증은 반드시 서버 측에서 수행하고 매개변수화된 질의(Prepared Statement)를 사용해야 한다.
- 웹 서버의 애플리케이션을 거쳐 DB에 전달되는 구조에서 발생: SQL 삽입 공격이 일어나는 전형적인 환경이다.
- DB 무단 접근·자료 유출·변조: 공격 성공 시 나타나는 대표적인 피해이다.
- 사용자 입력값으로 SQL 질의가 완성되는 약점 이용: 입력값이 검증 없이 질의문에 결합되는 점이 SQL 삽입의 근본 원인이다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.