[security] “Bobby Tables”XKCD 만화에서 SQL 삽입은 어떻게 작동합니까?

TL; DR

- 응용 프로그램은에 시도하지 않고,이 경우 '낸시'의 입력을 받아 들인다 - 같은 특수 문자를 이스케이프로, 입력을 살균 
학교 => INSERT INTO의 학생 VALUES ( '낸시' ); INSERT 0 1
   
  

-데이터베이스 명령으로의 입력이 조작 될 때 SQL 주입이 발생합니다 .-데이터베이스 서버가 임의의 SQL 
School 을 실행하게합니다 => 학생들에게 INSERT INTO VALUES ( 'Robert' ) DROP TABLE 학생 ; - '); INSERT 0 1 DROP 테이블
      
  
 

-학생 기록이 이제 사라졌습니다. 훨씬 더 나빠졌을 수도 있습니다! 
학교 => 선택 * 학생들 로부터 ; 
오류 :   관계 "학생" 이 존재 하지 않습니다   
라인 1 : 선택 * 학생들 로부터 ; ^   
                      

학생 테이블이 삭제 (삭제)됩니다.

( 이 답변의 모든 코드 예제는 PostgreSQL 9.1.2 데이터베이스 서버에서 실행되었습니다. )

무슨 일이 일어나고 있는지 명확히하기 위해 이름 필드 만 포함하는 간단한 테이블로 시도하고 단일 행을 추가하십시오.

학교 => CREATE TABLE의 학생 ( 이름 TEXT PRIMARY KEY를 ); 
주의 사항 : CREATE TABLE / PRIMARY KEY를 합니다 만들 암시 인덱스 "students_pkey"를 위한 테이블 "학생들은" CREATE TABLE의 
학교 => INSERT INTO 학생 VALUES ( '요' ); INSERT 0 1             
    
  

애플리케이션이 다음 SQL을 사용하여 데이터를 테이블에 삽입한다고 가정 해 봅시다.

INSERT INTO의 학생 VALUES ( '는 foobar' );  

foobar학생의 실제 이름으로 교체하십시오 . 일반적인 삽입 작업은 다음과 같습니다.

-입력 : Nancy 
school => 학생 INSERT INTO VALUES ( 'Nancy' ); INSERT 0 1   
  

테이블을 쿼리하면 다음과 같은 결과를 얻습니다.

학교 => 선택 * 학생들 로부터 ;   
 이름
-------
 남자
 낸시
( 2 행 ) 

Little Bobby Tables의 이름을 테이블에 삽입하면 어떻게됩니까?

-입력 : Robert '); DROP TABLE 학생; - 
학교 => 학생 INSERT INTO VALUES ( 'Robert' ); DROP TABLE 학생 ; - '); INSERT 0 1 DROP 테이블      
  
 

여기에 SQL 삽입은 명령문을 종료하고 별도의 DROP TABLE명령을 포함하는 학생 이름의 결과입니다 . 입력 끝에있는 두 개의 대시는 남은 코드를 주석 처리하여 오류가 발생할 수 있습니다. 출력의 마지막 행은 데이터베이스 서버가 테이블을 삭제했음을 확인합니다.

INSERT조작 중에 응용 프로그램이 특수 문자에 대한 입력을 점검하지 않으므로 임의의 입력을 SQL 명령에 입력 할 수 있습니다. 이는 악의적 인 사용자가 일반적으로 사용자 입력을 목적으로하는 필드에 따옴표와 같은 특수 기호를 임의의 SQL 코드와 함께 삽입하여 데이터베이스 시스템이이를 실행하도록하여 SQL  주입 을 수행 할 수 있음을 의미합니다 .

결과?

학교 => 선택 * 학생들 로부터 ; 
오류 :   관계 "학생" 이 존재 하지 않습니다   
라인 1 : 선택 * 학생들 로부터 ; ^   
                      

SQL 주입은 운영 체제 또는 응용 프로그램 의 원격 임의 코드 실행 취약점 과 동등한 데이터베이스 입니다. 성공적인 SQL 주입 공격의 잠재적 영향은 데이터베이스 시스템 및 응용 프로그램 구성에 따라 공격자가 데이터 손실 (이 경우와 같이)을 유발하거나 데이터에 대한 무단 액세스를 얻거나 실행하는 데 사용될 수 있습니다. 호스트 시스템 자체의 임의 코드

XKCD 만화에서 알 수 있듯이 SQL 주입 공격으로부터 보호하는 한 가지 방법은 특수 문자를 이스케이프 처리하는 등의 방법으로 기본 SQL 명령을 수정할 수 없으므로 임의의 SQL 코드가 실행될 수 없도록 데이터베이스 입력을 삭제하는 것입니다. SqlParameterADO.NET에서 사용하는 것과 같이 매개 변수화 된 쿼리를 사용하는 경우 SQL 주입을 방지하기 위해 최소한 입력이 자동으로 삭제됩니다.

그러나 응용 프로그램 수준에서 입력을 삭제해도 고급 SQL 주입 기술이 중단되지 않을 수 있습니다. 예를 들어, PHP 함수 를 우회하는 방법이 mysql_real_escape_string있습니다 . 추가 보호를 위해 많은 데이터베이스 시스템이 준비된 명령문을 지원 합니다 . 백엔드에서 올바르게 구현 된 경우 준비된 명령문은 데이터 입력을 의미 적으로 나머지 명령과 분리하여 처리하여 SQL 삽입을 불가능하게 할 수 있습니다.

답변

void createStudent(String name) {
    database.execute("INSERT INTO students (name) VALUES ('" + name + "')");
}

INSERT INTO students (name) VALUES ('Robert'); DROP TABLE STUDENTS --')

Select *
From Students
Where (Name = '<NameGetsInsertedHere>')

Select *
From Students
Where (Name = 'Robert'); DROP TABLE STUDENTS; --')
--             ^-------------------------------^