SQL injection 공격 ... 펌

SQL injection 공격은 아주 기초적이 해킹방법중 하나입니다.

 

너무나 기초적인 방법이기 때문에 요즘 서비스되고 있는 웹페이지의 경우 대부분

 

해당공격이 차단되어있습니다

 

(개인이 허접하게 구축한 사이트라던가, 매우 오래전에 구축한 사이트를 빼곤 다 차단되었다고 보시면 됩니다)

 

간단하게 말씀드리면

 

ID 와 비밀번호를 넣는 공간에  ' 등의 특수문자를 집어넣어 서버에서 DB로 호출하는

 

SQL문을 변조하는 기법입니다

 

만약 ID와 비밀번호를 체크하는 SQL이

 

SELECT count(user_id) from USER_TB where user_id='test' and pw='1234'

 

이 결과값이 1이상이  나오면 로그인을 통과한다고 가정하면(말도안되지만)

 

ID와 패스워드를 입력하는 공간에

'or 1=1

이라고 입력하여 injection 공격을 통해 다음과 같이 변조하는 거죠

 

 

SELECT count(user_id) from USER_TB where user_id='test' and pw='' or 1=1

이 결과는 0이상이 나올테고 그럼 비밀번호 없이도 로그인을 거치게 되는겁니다

 

결국 injection 공격은 SQL문을 잘알아야하고 보안이 아주 허술한 사이트에서만

 

공격이 가능하다고 보시면 됩니다..

 

 

 

질문자께서 해킹을 하고자하는 의지가 있다면

 

프로그램은 기본이고, 보안관련 이슈나 기술에 대해 천천히 공부해야합니다

 

서점에 보안, 해킹에 관한 서적이 많으니 이를 보시는것도

 

해킹을 하는 방법이나 또 그를 막는 방법에 대해 알게되니 책을 참고해보시기 바랍니다.