겉바속촉

지난번에 봤던 Blind Numeric SQL Injection에 이어서 2021/01/21 - [IT 일기 (상반기)/네트워크 및 시스템 보안] - [보안] Blind Numeric SQL Injection [보안] Blind Numeric SQL Injection Blind Numeric SQL Injection 계좌 번호의 유효성을 체크해 주는 서비스 문제 ) The goal is to find the value of the field pin in table pins for the row with the cc_number of 1111222233334444. The fi.. 2-juhyun-2.tistory.com Blind String SQL Injection 에 대해서 보도록 하겠습니다. 문제)..

Blind Numeric SQL Injection 계좌 번호의 유효성을 체크해 주는 서비스 문제 ) The goal is to find the value of the field pin in table pins for the row with the cc_number of 1111222233334444. The field is of type int, which is an integer. pins 테이블에 cc_number 컬럼의 값이 '1111222233334444' 인 pin 컬럼의 값을 찾으시오. 사용자 입력 Account Number: 101 서버로 전달 attack?Screen=4&menu=1100&account_number=101 내부 처리 (추측) select * from accounts wher..

SQL Injection 개념 외부 입력값을 검증하지 않고 SQL문을 생성 및 실행에 사용하는 경우에 발생 쿼리의 원래 의미와 형태가 변형되어 실행 예상 피해 권한 밖 데이터에 대한 접근이 가능, 인증 우회, DB서버 또는 서버군의 제어권을 탈취하는 등의 피해가 발생 방어 기법 입력값 검증 --> SQL문을 조작할 수 있는 문자열 포함 여부를 확인 정적 쿼리를 사용 --> 항상 일정한 형태의 쿼리가 실행되는 것을 보장 DB 사용자에게 최소 권한을 부여 --> 애플리케이션에서 사용하는 DB 사용자의 권한을 필요한 만큼만 부여 에러에 대한 안전한 처리 --> 오류 메시지를 통해서 시스템 내부 정보가 노출되지 않도록 오류 메시지를 처리 입력되는 값의 형태(유형)에 따라 다양한 SQL Injection 유형 s..