SQL인젝션은 어떻게 데이터베이스에 침투하여 글을 남기는가?

[김종록]

아무리 연구해 봐도 SQL인젝션은 

데이터베이스를 직접적으로 해킹하지는 않을듯 싶다..

PHP같은 웹언어에서 mysql등의 디비로 접속하는 코드를

해킹하여...아이디와 패스워드를 알아낸 다음에 코드를 집어 넣는게 아니냐 ? 라는 생각을 해 보았다....

SQL 인젝션(SQL Injection)은 공격자가 웹 애플리케이션의 보안 취약점을 이용하여 원래 의도하지 않은 SQL 쿼리를 실행하게 만드는 공격 기법입니다. 이로 인해 공격자는 데이터베이스에 불법적인 접근, 데이터 조작, 삭제, 심지어는 글 남기기까지 할 수 있습니다.

✅ SQL 인젝션 침투 원리

예시로, 사용자가 웹 폼에 게시글을 남기는 시스템이 있다고 가정해봅시다.

📌 취약한 코드 예제 (PHP + MySQL) $title = $_POST['title']; $content = $_POST['content']; $sql = "INSERT INTO board (title, content) VALUES ('$title', '$content')"; mysqli_query($conn, $sql);

이 코드의 문제는 사용자 입력을 그대로 SQL에 삽입하는 것입니다. 즉, 아래와 같은 악의적인 입력이 가능해집니다.

---

🧨 악성 입력 예

• title 필드에:

  아무거나'); DROP TABLE board; --

• 쿼리가 다음과 같이 변형됨:

  INSERT INTO board (title, content) VALUES ('아무거나'); DROP TABLE board; --', '내용')

• 결과적으로 이 쿼리는:

  1. 정상적인 INSERT 시도 후

  2. DROP TABLE board 명령이 실행되어 게시판 테이블이 삭제됩니다.

---

📌 글을 남기는 방식으로 악용하는 예

공격자는 다음과 같은 입력으로 임의의 글을 등록할 수도 있습니다.

제목: test'); INSERT INTO board (title, content) VALUES ('해킹', '이 사이트는 취약합니다'); --

변환된 쿼리:

INSERT INTO board (title, content) VALUES ('test'); INSERT INTO board (title, content) VALUES ('해킹', '이 사이트는 취약합니다'); --', '본문')

이 경우 실제로 공격자가 원하는 글이 추가로 게시판에 삽입됩니다.

---

🔐 방어 방법 (중요!)

1. Prepared Statement (Prepared SQL 문) 사용

2. ORM (예: Django ORM, SQLAlchemy) 활용

3. 사용자 입력을 반드시 이스케이프 처리

4. 입력 값 검증 (예: 길이, 형식)

5. DB 권한 최소화 (글만 쓸 수 있는 계정 따로 설정)

---

✅ 결론

SQL 인젝션은 사용자의 입력을 그대로 SQL 쿼리에 넣는 방식이 문제가 되어, 공격자가 의도한 SQL 명령을 실행할 수 있도록 만듭니다. 이로 인해 데이터베이스에 글을 남기거나 삭제하거나 조작하는 것까지 가능해집니다.

필요하면 실제 시나리오나 실습 예제도 도와드릴 수 있어요.