20-2웹 애플리케이션을 노리는 공격 기법 가운데 SQL 삽입(Inje… | 2020년 정보처리기사실기 2회차 기출문제 상세 페이지

입력값 검증이 미흡한 응용 프로그램의 취약점을 이용해, 입력란 등에 악의적인 SQL 구문을 끼워 넣어 실행시킴으로써 데이터베이스의 정보를 빼내거나 조작하는 공격이다.

[해설]

SQL 삽입(SQL Injection)은 입력값이 SQL 문에 그대로 이어 붙는 입력값 검증 미흡 취약점을 노리는 웹 공격이다.

공격자가 로그인 창 같은 입력란에 ' OR '1'='1 같은 구문을 넣으면 WHERE 조건이 항상 참이 된다. 그러면 인증을 우회하거나 DB 정보를 빼내고 조작할 수 있다.

대응책은 PreparedStatement(바인딩 변수) 사용, 입력값 검증·특수문자 필터링, 오류 메시지 노출 제한이다.