Mass SQL Injection (기술면접대비 요약자료)

작성자: 잽싼곰탱이

편집자: 엔시스(sis@sis.pe.kr)

 

1. SQL Injection이란?
    DB로 전달되는 SQL Query를 변경시키기 위해 Web Application에서 입력받은 파라메터를 변조,
     삽입하여 비정상적인 DB접근을 시도하는 기술.     ===============================================================================================
     ex. 일반적인 SQL Injection 패턴
          ' or 1=1--
          " or 1=1--
            or 1=1--
          ' or 'a'='a
          " or "a"="a
          ') or ('a'='a
          ' or password like '%
    ===============================================================================================
     위의 예제와 같은 패턴을 로그인창 ID, PW 입력칸에 넣으면 관리자 권한 획득이 가능하다.

2. Mass SQL Injection이란?
    가. 정의
           기존 SQL Injection에서 확장된 개념. Mass는 "대량의, 집단의"란 뜻으로 한번의 공격으로 
           대량의 DB값이 변조되어 해당 홈페이지에 치명적인 악영향을 미치는 것이다.
      나. 방식
          1) 일부분 HEX 인코딩 방식
          2) 전체 HEX 인코딩 방식
      다. 공격방법
          1) DB값 변조시 홈페이지에 악성 스크립트 삽입
          2) 사용자들이 변조된 사이트 방문시 악성 스크립트에 감염되거나 Bot 설치
          3) 감염된 좀비PC를 통해 온라인 게임계정 해킹과 DDoS공격이 가능
      라. 악성 스크립트에 사용되는 파일형식
          js(자바 스크립트 파일), swf(플래시 파일), exe(실행파일)이 주로 이용됨.

3. Mass SQL Injection에 취약한 환경
    MS-SQL, ASP, IIS웹서버
     MS-SQL을 사용하며 ASP가 가동중인 IIS서버를 주 공격대상으로 한다.

4. 공격형태의 도식화

5. 대응방안
   가. 쿼리스트링에 대한 길이제한
   나. 코딩시 SQL-Injection 공격에 대비한 소스코딩
   다. 입력문자 제한, 필터링 적용
   라. 정기적인 DB/시스템 백업 실시
   마. 웹 방화벽 사용

6. 참고자료
   가. 2008. 6 NSHC 보안컨설팅팀(김경수, 박용운 컨설턴트) Mass SQL Injection 공격기법과
        대응방안