/* 취약점 개요 SQL Injection URL 매개변수와 같은 사용자 제공 데이터는 항상 신뢰할 수 없고 오염된 것으로 간주되어야 합니다. 오염된 데이터에서 직접 SQL 쿼리를 구성하면 공격자가 쿼리 자체의 초기 의미를 변경하는 특수하게 조작된 값을 삽입할 수 있습니다. 성공적인 데이터베이스 쿼리 주입 공격은 데이터베이스에서 민감한 정보를 읽거나 수정하거나 삭제할 수 있으며 때로는 데이터베이스를 종료하거나 임의의 운영 체제 명령을 실행할 수도 있습니다. 일반적으로 솔루션은 준비된 명령문을 사용하고 setString, 와 같은 전용 메서드를 사용하여 변수를 SQL 쿼리 매개변수에 바인딩하여 사용자가 제공한 데이터가 적절하게 이스케이프되도록 하는 것입니다. 또 다른 솔루션은 쿼리를 작성하는 데 사용되는 모든 매개변수의 유효성을 검사하는 것입니다. 이것은 문자열 값을 기본 유형으로 변환하거나 허용된 값의 화이트리스트에 대해 유효성을 검사하여 달성할 수 있습니다. 이 규칙은 JDBC, Java EE Entity Manager, Spring Framework, Hibernate, JDO, Android 데이터베이스, Apache Torque, Apache Turbine, MyBastis, Rapidoid를 지원합니다. */ // Noncompliant Code Example public boolean authenticate(javax.servlet.http.HttpServletRequest request, java.sql.Connection connection) throws SQLException { String user = request.getParameter("user"); String pass = request.getParameter("pass"); String query = "SELECT * FROM users WHERE user = '" + user + "' AND pass = '" + pass + "'"; // Unsafe // If the special value "foo' OR 1=1 --" is passed as either the user or pass, authentication is bypassed // Indeed, if it is passed as a user, the query becomes: // SELECT * FROM users WHERE user = 'foo' OR 1=1 --' AND pass = '...' // As '--' is the comment till end of line syntax in SQL, this is equivalent to: // SELECT * FROM users WHERE user = 'foo' OR 1=1 // which is equivalent to: // SELECT * FROM users WHERE 1=1 // which is equivalent to: // SELECT * FROM users java.sql.Statement statement = connection.createStatement(); java.sql.ResultSet resultSet = statement.executeQuery(query); // Noncompliant return resultSet.next(); } // Compliant Solution public boolean authenticate(javax.servlet.http.HttpServletRequest request, java.sql.Connection connection) throws SQLException { String user = request.getParameter("user"); String pass = request.getParameter("pass"); // Safe even if authenticate() method is still vulnerable to brute-force attack in this specific case String query = "SELECT * FROM users WHERE user = ? AND pass = ?"; // PreparedStatement 방식으로 SQL 쿼리문을 고정한 후, user/pass 파라미터의 값을 setString 하면 변조된 SQL 쿼리문이 실행되지 않는 구조임. java.sql.PreparedStatement statement = connection.prepareStatement(query); statement.setString(1, user); // Will be properly escaped statement.setString(2, pass); java.sql.ResultSet resultSet = statement.executeQuery(); return resultSet.next(); }