해킹 기초 - SQL Injection sql 삽입 공격 2

 

SQL Injection

 

SQL Injection 이란 악의적인 사용자가 임의의 SQL 문을 주입하고 실행되게 하여 데이터베이스가 비정상적인 동작을 하도록 조작하는 행위 입니다. 인젝션 공격은 공격이 비교적 쉬운 편이고 공격에 성공할 경우 큰 피해를 입힐 수 있는 공격입니다.

 

SQL Injection으로 DB공격

 

원리: 한번에 두 개의 SQL문을 실행시켜 원하는 동작을 DB에 명령합니다

 

SELECT * FROM user WHERE uid = ' ~ ' ;

위 문장에 

id1'; UPDATE empolyee SET salary=99999999 WHERE uid=1;--

문장을 추가하면 SELECT문과 UPDATE문 모두 실행됩니다

 

다만 요즘 DB에서는 한번에 두 개의 쿼리문을 실행시킬 수 없도록 기본으로 설정되어 있습니다

따라서 이 SQL문을 실습하기 위해서는 직접 DB설정을 할 필요가 있습니다