이렇게 DB,테이블 등등을 목록화 시키는 것이 실무에 적용 가능한가요?

Question

보안에 입문한 지 얼마 되지 않은 학생입니다.

기존에 책으로 공부하던 SQL Injection과는 차원이 다를 정도로 깊숙한 내용을 경험하며 한계를 느끼고 열심히 몸에 밸 때 까지 연습 또 연습하고 있습니다.

연습을 하면서 문득 들었던 의문입니다.

혹시 실무에서 이런 식으로 파라미터에 세줄이 넘는 긴 SQL구문을 주입하여 데이터를 추출하는 것이 정말 가능할까요?

보통 웹 사이트에서는 SQL Injection을 방어하기 위해 Select, Union, 그리고 object_id와 같은 함수들이 들어오면 escape처리되는 것으로 알고 있는데,

이러한 환경에서도 이러한 목록화 기법들이 통할까요?

Answer

안녕하세요.

입력 값 검증이 제대로 되어 있는 기능이라면 당연히 SQL Injection 공격 조차 되지 않을 것입니다.

그러나 모든 파라미터에 대해 입력 값 검증을 제대로 하기란 사실상 불가능합니다.

때문에 저희는 그러한 보안 허점을 찾아서 그곳에 공격을 시도하는 것입니다.

제가 강의에서 설명하는 것들은 실무 환경에서 수 천번 이상을 써먹던 기술입니다 ㅎㅎ

저도 공부를 할때는 의문을 품었습니다. 상식적으로 안될것같은데;;?

그러나 실무 진단을 해보면 사실 너무 취약한 환경들이 많고 저희 생각처럼 견고한 웹 서비스는 그렇게 많지 않습니다. 견고한척해도 결국 뚫리죠 ㅎㅎ

가끔은 안통하는 곳이 있다고 해도 다른 모든 곳이 그렇지는 않습니다.ㅎㅎ