SQL Injection

설명

대상 응용 프로그램 서버의 백엔드 데이터베이스에서 임의의 SQL 명령을 실행할 수 있습니다. SQL Injection은 데이터 또는 시스템 손상으로 이어질 수 있는 심각한 취약점입니다.

조치

백엔드 데이터베이스 시스템에 요청을 발행하는 경우 항상 매개변수화된 쿼리를 사용하세요. 동적 쿼리를 생성해야 하는 상황에서는 직접적인 사용자 입력이 아닌 유효한 값들의 맵 또는 사전을 사용하여 사용자가 제공한 키를 사용하여 그들을 해결하세요.

예를 들어, 일부 데이터베이스 드라이버는 > 또는 < 비교 연산자에 대해 매개변수화된 쿼리를 허용하지 않을 수 있습니다. 이러한 경우 사용자가 제공한 > 또는 < 값을 사용하지 말고 사용자가 대신 gt 또는 lt 값을 제공하도록 하세요. 알파벳 값은 동적 쿼리 구성에 사용될 > 및 < 값을 조회하는 데 사용됩니다. 열 또는 테이블 이름이 필요하지만 매개변수화할 수 없는 다른 쿼리의 경우에도 동일한 원칙이 적용됩니다.

Details

ID Aggregated CWE Type Risk
89.1 false 89 Active high

링크