주요정보통신기반시설 WEB-05 SQL 인젝션

WEB-05 SQL 인젝션

사용자의 입력 값으로 웹 사이트 SQL 쿼리가 완성되는 약점을 이용하여, 입력 값을 변조하여 비정상적인 SQL 쿼리를 조합하거나 실행하는 공격. 데이터 베이스를 비정상적으로 조작 가능함

 

점검 및 판단 기준

- 양호 : 임의의 SQL 쿼리 입력에 대한 검증이 이루어지는 경우

- 취약 : 임의의 SQL 쿼리 입력에 대한 검증이 이루어지지 않는 경우

 

조치 방법

- 소스 코드에 SQL 쿼리 입력값을 받는 함수나 코드를 써야 할 경우, 임의의 SQL 입력에 대한 검증 로직을 구현하여 검증되지 않는 SQL 쿼리가 인수 값으로 들어올 경우 에러페이지가 아닌 정상 페이지가 반환 되도록 필터링 처리 및 웹 방화벽을 운용할 경우 웹 방화벽에 SQL인젝션 관련 룰셋을 적용하여 SQL 인젝션 공격 차단

 

점검 방법

- 애플리케이션 인수 값에 특수문자나 임의의 SQL쿼리를 전달하여 DB에러 페이지가 반환되는지 확인

- 애플리케이션 인수 값에 임의의 SQL 참, 거짓 쿼리를 전달하여 참, 거짓 쿼리에 따라 반환되는 페이지가 다른지 확인

- 로그인 창에 참이 되는 SQL 쿼리를 전달하여 로그인 되는지 확인

 

보안 설정 방법

- 문자열 유효성 검증 로직 구현 : 특수문자 사용자 입력 값으로 지정 금지

- Dynamic SQL 구문 사용 금지 : 파라미터에 문자열 검사 필수 적용

- 오류에 대한 예외 처리 : 요류처리로 정보 노출 최소화

- 필터링 등 입력 값 검증 프로세스는 Client side script가 아닌 Server페이지로 구현