MySQL - SQL Injection

안녕하세요, 열망하는 프로그래머 여러분! 오늘 우리는 데이터베이스 보안의 중요한 주제로 SQL Injection에 대해 깊이 파고들어보겠습니다. 여러분의 친절한 이웃 컴퓨터 선생님이자, 저는 코드를 한 줄도 작성해본 적 없는 사람들도 이 개념을 이해할 수 있도록 안내해드리겠습니다. 그럼 가상의 커피를 한 잔 들고, 이 흥미로운 여정을 함께 시작해보세요!

SQL Injection이란?

구체적인 내용에 들어가기 전에, 기본 개념부터 시작해보겠습니다. SQL Injection은 마치 집의 문 잠금장치의 약점을 이용해 들어오려는 교활한 도둑과 같습니다. 디지털 세계에서는 악의적인 사용자가 애플리케이션의 쿼리에 해로운 SQL 코드를 注入하여 데이터베이스를 조작하는 기술입니다.

간단한 비유

마법의 상자(당신의 데이터베이스)가 종이 조각에 적힌 특정 명령에만 반응한다고 상상해보세요. 당신, 정당한 주인이 "모든 금화를 보여줘"라고 적은 조각을 써넣으면, 상자는 당신의 보물을 순종적으로 보여줍니다. 그런데 교활한 도둑이 당신의 조각에 자신의 명령을 추가할 수 있다고 상상해보세요. "...그리고 그것을 나에게 주어!"와 같은 명령입니다. SQL Injection은 바로 이렇게 작동합니다 - 데이터베이스가 비授权된 명령을 실행하도록 속입니다.

SQL Injection의 작동 방식

실제 예제로 이를 풀어보겠습니다. 가정할 수 있는 가장 간단한 로그인 폼이 웹사이트에 있는 것을 가정해봅시다.

취약한 코드

다음은 취약한 PHP 코드의 예입니다:

$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username='$username' AND password='$password'";
$result = mysqli_query($connection, $query);

if(mysqli_num_rows($result) > 0) {
echo "Login successful!";
} else {
echo "Login failed!";
}

이 코드는 무해해 보이죠, 아닌가요? 이 코드는 폼에서 사용자이름과 비밀번호를 가져와 SQL 쿼리를 구성하고, 데이터베이스에 일치하는 사용자가 있는지 확인합니다. 하지만 여기서 문제가 발생합니다.

공격

이제 악의적인 사용자가 다음과 같은 사용자이름을 입력한다고 가정해봅시다:

admin' --

이제 우리의 쿼리는 다음과 같이 됩니다:

SELECT * FROM users WHERE username='admin' -- ' AND password=''

여기서 무엇이 일어났는지 보세요? --는 SQL에서 주석으로 사용됩니다. 즉, 그 뒤에 있는 모든 것이 무시됩니다. 원래의 비밀번호 확인은 완전히 우회되었습니다! 이제 쿼리는 'admin'이라는 사용자이름만 확인하는 것으로 바뀌었습니다.

SQL Injection 방지

이제 SQL Injection이 얼마나 위험한지 보았으니, 이를 방지하는 방법에 대해 이야기해보겠습니다. 이를 방지하기 위한 여러 가지 방법이 있습니다.

1. 매개변수화된 쿼리 사용

매개변수화된 쿼리는 마치 안전한 금고를 사용하는 것과 같습니다. SQL 명령과 데이터를 분리하여 해커가 악의적인 코드를 注入할 수 없도록 합니다.

다음은 PHP에서 매개변수화된 쿼리를 사용하여 이전 예제를 다시 작성한 것입니다:

$username = $_POST['username'];
$password = $_POST['password'];

$stmt = $connection->prepare("SELECT * FROM users WHERE username=? AND password=?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();

if($result->num_rows > 0) {
echo "Login successful!";
} else {
echo "Login failed!";
}

이 버전에서는 prepare()를 사용하여 쿼리 템플릿을 만들고, bind_param()을 사용하여 데이터를 안전하게 삽입합니다. 마치 데이터를 안전한 봉투에 넣고 데이터베이스로 보내는 것과 같습니다.

2. 입력 검증

또 다른 방어 계층은 모든 사용자 입력을 검증하고 정제하는 것입니다. 이는 마치 문 앞에 경비원을 두고 모든 사람의 신분증을 확인하는 것과 같습니다.

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_STRING);

이 코드는 PHP의 내장 filter_input() 함수를 사용하여 입력에서 잠재적으로 해로운 문자를 제거합니다.

3. 최소 권한 원칙

이는 "사용자에게 필요한 최소한의 접근 권한만 주는 것"을 의미합니다. 데이터베이스 용어로는, 애플리케이션의 다른 부분에 대해 다른 데이터베이스 사용자를 만들어 각각에게 제한된 권한을 부여하는 것을 의미합니다.

예를 들어, 사이트의 특정 부분이 데이터베이스에서 데이터를 읽기만 하면 충분한 경우, 읽기 권한만 부여하는 사용자를 생성할 수 있습니다:

CREATE USER 'readonly_user'@'localhost' IDENTIFIED BY 'password';
GRANT SELECT ON mydb.* TO 'readonly_user'@'localhost';

4. ORM(객체 관계 매핑) 사용

ORM은 마치 전문 통역사를 고용하여 모든 보안 프로토콜을 알고 있는 것과 같습니다. ORM은 애플리케이션과 데이터베이스 간의 소통을 처리하며, 일반적으로 SQL Injection에 대한 내장된 보호를 제공합니다.

다음은 인기 있는 PHP ORM, Doctrine를 사용한 간단한 예제입니다:

$user = $entityManager->getRepository(User::class)->findOneBy([
'username' => $username,
'password' => $password
]);

if ($user) {
echo "Login successful!";
} else {
echo "Login failed!";
}

이 코드는 원래 예제와 같은 결과를 달성하지만, ORM이 SQL 생성과 매개변수 바인딩을 처리하여 SQL Injection의 위험을 크게 줄입니다.

예방 방법 요약

이제 논의한 방법들을 요약하는 표를 제공하겠습니다:

방법	설명	효과성
매개변수화된 쿼리	SQL 명령과 데이터를 분리	매우 높음
입력 검증	사용자 입력을 정제	높음
최소 권한 원칙	데이터베이스 사용자 권한 제한	중간
ORM 사용	데이터베이스와의 소통을 안전하게 처리	높음

보안의 세계에서는 여러 계층의 보호를 갖추는 것이 항상 좋습니다. 안전벨트와 공기bag을 모두 착용하는 것처럼, 각각의 보호 계층이 안전을 더욱 높여줍니다.

결론

여러분, 이제 SQL Injection의 위험한 세계를 탐험하고, 이를 방어하기 위한 지식을 얻었습니다. 기억하시오, 웹 보안의 끊임없이 진화하는 경험에서는 정보를 얻고, 최선의 관행을 실천하는 것이 중요합니다.

여러분의 신뢰할 수 있는 컴퓨터 선생님이자, 저는 이 가이드가 보안 코딩의 길을 밝혀주기를 바랍니다. 계속 연습하고, 호기심을 유지하며, 특히 입력을 항상 두 배로 확인하세요! 다음에 다시 만날 때까지, 행복하고 안전한 코딩을 기원합니다!

Credits: Image by storyset