[Security] Blind SQL Injection

Blind SQL Injection이란?

Blind SQL Injection  공격은 쿼리의 결과를 참과 거짓으로만 출력하는 페이지에서 사용되는 공격으로, 출력 내용이 참과 거짓밖에 없어서 이를 이용해 데이터베이스의 내용을 추측하여 쿼리를 조종하는 공격이다.

 

공격 방법 중 한가지는 데이터베이스(DB)에서 xp_cmdshell 기능의 활성화가 가능했고, 시스템 명령(system command)을 실행할 수 있었다. 그런 다음 DNS-based exfiltration을 통해 시스템 명령의 출력을 얻을 수 있었다.

 

하지만 내가 겪은 공격은 시간 기반 SQL Injection 공격으로 단순히 시간지연을 통해 DoS공격과 같은 SQL Injection공격이었다.

 

DB 종류	구문
MySQL	select BENCHMARK(1000000, md5('a');   select SLEEP(5);
Oracle	select dbms_pipe.receive_message(('a'), 10) from dual;
MSSQL	WAITFOR DELAY '0:0:5';
PostgreSQL	select pg_sleep(10);
DB2, Ingres 등	use heavy queries to create a time delay

 

시간 지연을 통해 세션과 서버에 부하를 주어 서버가 제 기능을 하지 못하게 하는 공격이라고 한다.