SQL 인젝션

#보안

SQL 인젝션은 가장 심각하고 흔한 취약점 중 하나다.

말 그대로 SQL을 끼워넣는다(inject)는 뜻인데...

예를 들어, 서버에서 아래와 같은 쿼리가 수행된다고 치자.
select** * from table where table.id = 입력값;**

저기서 입력값은 클라이언트에게 전달받은 값을 삽입해서 쿼리를 수행할 것이다.
일반적으로는 유효한 1이나 10 등의 값이 들어올 것을 기대하고 코드를 짤텐데...

입력값으로 아래와 같은 텍스트가 들어오면 어떨까?
"100; delete * from table"

그럼 진짜 이렇게, 사용자의 입력만으로 쿼리가 달라진다!
select** * from table where table.id = **100; delete * from table;

select로 읽어오는데는 문제가 없지만, delete로 전부 삭제를 해버리는 것이다.

SQL 자체는 좀 멍청한 녀석이라, 검증을 쥐뿔도 하지 않기 때문이다.

이에 대한 해결법은 의외로 간단하다.

쿼리마다 권한을 분리해서 drop, delete 등의 위험한 행위를 제약한다.
->완벽한 방어법은 아니지만, SQL 인젝션 대책이 아니라도 필요한 부분이다.
클라이언트에게 받아온 데이터를 검증한다.
->여기엔 여러가지 방법이 있을 수 있다. 타입을 통해 걸러낼 수도 있고, 정규식으로 판별할 수도 있고...
받아온 데이터를 이스케이핑한다.
->그냥 양옆에 따옴표를 붙이거나 해서 쿼리가 아닌 텍스트로만 인식하게 하는 거다. 그럼 위의 예제도
select** * from table where table.id = "100; delete * from table**";****
이런 식으로 바뀌어서 에러를 띄울 것이다.
저장 프로시저 등을 사용해서 권한을 부여한다.
->완벽한 방어법은 아니지만 괜찮은 방법이다.
프레임워크 등에서 제공하는 기능을 사용한다.
->좋은 프레임워크들은 이에 대한 충분한 대책을 세워놓고 기능을 제공한다.
가령, Spring JPA은 SQL 인젝션을 알아서 차단해준다. 신경쓸게 없다.
PHP, 노멀 Java 등 이외의 환경들에서도 PreparedStatement라는 기능을 사용하면, 자동으로 이스케이핑을 해줘서 인젝션에 안전하다.