▼

이란

쿠에바스

개천절

이스라엘

PSG

아스날

강철부대W

디아블로4

김강민

아이언돔

로그인 회원가입|아이디

비번찾기

개발자포럼 입니다.

이거 혹시 인젝션 공격인가요?8

갓고십다
등록일 2016-07-25 16:55
조회수 799

SELECT * FROM `BOARD` WHERE NO =999999.9 uNiOn aLl sElEcT 1,2,3,4,5,6,( sElEcT cOn

대소문자 섞어쓴것도 그렇고, 제가 쓴 코드가 아니라서 파일들 뒤져가며 유니온문 찾아봐도 잘 안 보이는데 유니온문도 들어있고..

일반적인 쿼리의 경우 대소문자 섞어 쓸 이유는 없지 않나요? 제가 초보라..

파워링크 등록안내



		목록보기

0 호치민의기적

네 인잭션 맞습니다.

2016-07-25 점아이콘

댓글주소복사

0 갓고십다

네, 감사합니다. 저같은 초보가 짜도 이런 식으론 안 짤 것 같은데, 큰 erp시스템인데 코드가 진짜 가관이네요.ㅠㅠ

2016-07-28 점아이콘

댓글주소복사

0 호치민의기적

아 로그가 아니라 프로그램 코드라면 아랫분 말씀대로 인젝션이 아닐 수 있습니다.
로그 분석중에 저런 구문이 나왔다는 말씀이신줄 알았네요 ㅎㅎ

2016-07-28 점아이콘

댓글주소복사

0 갓고십다

로그였습니다. 안타깝지만요. ㅠㅠ
아.. 이 큰 erp의 오류들, 자잘한 버그들, 수많은 클래임..
만드신 분들 진짜 너무하시네요. ㅠㅠ
진짜 3개월 기관 신입 교육생들을 단체로 가져다 쓰셨나..ㅠㅠㅠㅠ
울며겨자먹기로 하고 있습니다.ㅠㅠ

2016-07-28 점아이콘

댓글주소복사

0 고도리인생

인젝션 으로 단정지을순 없습니다
코딩을 한부분을 봐야합니다

prepareStatement binding 형식의 쿼리면 정상적으로 잘 짠거고
쿼리문장에 그냥 입력한거면 인젝션에 취약하도록 코딩된겁니다.

2016-07-27 점아이콘

댓글주소복사

0 갓고십다

네, 감사합니다. 제가 짠 코드가 아니라 막말하고 싶진 않지만.. 참..;;; 코드를 보면 볼수록..
말씀덕분에 또하나 배웠네요.

2016-07-28 점아이콘

댓글주소복사

0 근조-민주주의

인젝션에 대한 자료를 찾아 보시는게 나을 것 같아요..
Injection 공격을 하려면 input 파라메터에 쿼리를 변조할 수 있는 값이 들어 와야 하는데요..
예를 들어 \"where 1 = 1 --\" 이런식의 파라메터를 넣어서 뒤 쿼리를 무효화 하여 모든 데이터를 출력한다거나.. 하는 등등..
대소 문자 구분으로 인젝션을 판단하기는 어렵습니다. 근데 저렇게 코딩했다면.. 일부러 한게 분명한데... 대소문자를.. 저리.. 짜다니.. 엿먹으라고 하는 짓이지 싶네요..
그냥.. ctrl+shift+U 로 일괄 uppercase~

2016-08-02 점아이콘

댓글주소복사

0 갓고십다

네, 감사합니다. 아~주, 충분히 가능한, 누구라도 뚫을 수 있는 수준의 보안..조차 없었어요.ㅋㅋ
답변 감사합니다.

2016-08-03 점아이콘

댓글주소복사

알림 욕설, 상처 줄 수 있는 악플은 삼가주세요.
로그인 후 코멘트를 작성하실 수 있습니다.

짤방 사진		익명요구 다른의견


	△ 이전글▽ 다음글	목록보기