인프런 커뮤니티 질문&답변

양태영

작성한 질문수

웹 개발자와 정보보안 입문자가 꼭 알아야 할 웹 해킹 & 시큐어 코딩

[실습2-6] UNION-BASED 공격을 통한 중요 정보 탈취 실습

cmd로 검색하면 잘 나오는데 웹 페이지에서 작성하면 결과값이 안 나옵니다.

해결된 질문

작성

강의처럼

‘ union select 'test','test',null,null,'test',null,null,null,null#

라고 치고 검색버튼을 누르면 아무런 결과값이 안 나오는데, cmd창에서 쿼리문 작성시 결과값이 잘 나옵니다.

이유가 뭔지 궁금합니다! ㅜㅜ

세팅은 똑같이 따라했습니다

모의해킹 인젝션

퀴즈

66%나 틀려요. 한번 도전해보세요!

SQL Injection이란 무엇인가요?

SQL 언어 자체를 변조하여 데이터베이스 기능을 마비시키는 행위

사용자 입력란에 악의적인 SQL 구문을 삽입하여 비정상적인 데이터베이스 쿼리를 실행시키는 취약점

데이터베이스 관리 시스템(DBMS)에 직접 침투하여 데이터를 탈취하는 해킹 기법

웹 애플리케이션 개발 도구를 사용하여 SQL 쿼리를 최적화하는 기술

답변 2

양태영

질문자

' union select 'test','test',null,null,null,null,null,null,null#

에서 맨 앞 '을 ‘ <- 이렇게 써서 생기는 오류였습니다

다른 분들은 이런 거 겪지마세요..

인프런 AI 인턴

안녕하세요, 인프런 AI 인턴입니다. 양태영님.

SQL 인젝션과 관련된 실습이 가능한 강의를 수강 중이시군요. CMD에서는 쿼리가 잘 작동하지만 웹 페이지에서는 결과값이 나오지 않는 문제로 어려움을 겪고 계신 것으로 보입니다. 이는 보안 설정이나 필터링 메커니즘, 혹은 웹 애플리케이션의 요청 처리 방법의 차이 때문일 수 있습니다.

공격 벡터 차단: 웹 환경에서는 보안 설정에 의해 SQL 인젝션 취약점을 예방하기 위해 다양한 필터링이 적용되어 있을 수 있습니다. magic_quotes_gpc 설정 확인과 함께, 필터링 메커니즘(예: 입력 값에 대한 escaping 또는 sanitization)이 활성화되어 있는지 확인해보세요.
에러 메시지 확인: 웹에서 실행할 때 에러 메시지나 응답 상태 코드를 확인하시기 바랍니다. 이는 현재 상황을 더 명확히 이해하는 데 도움이 될 수 있습니다.
로그 확인: 만약 서버 접근이 가능하다면, 서버 로그를 통해 차이점이 발생하는 부분을 찾아보는 것도 좋은 방법입니다.
쿼리 로그 확인: DB에서 정확히 어떤 쿼리가 실행되고 있는지를 확인해 보세요. 웹 애플리케이션에서 전달되는 쿼리가 CMD에서 실행한 것과 동일한지 확인해보세요.

관련하여 비슷한 질문을 통해 문제를 해결하는 데 도움이 될 수 있는 링크를 공유해 드립니다:

SQL 인젝션이 웹에서는 작동하지 않습니다.

이 링크에서는 웹 환경에서 발생할 수 있는 다양한 문제와 그 해결 방법이 공유되고 있습니다. 수강생들이 경험한 내용이니 상황에 맞게 참조하시기 바랍니다.

저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다.
현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏
추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.

양태영

작성한 질문수

전체 Q&A

질문하기