Union SQL Injecion

작성자 : KOROMOON (koromoon@gmail.com)
작성일 : 2012-09-17

( 1 ) Union SQL Injecion

2개 이상의 쿼리를 요청하여 결과를 얻는 UNION 이라는 SQL 연산자를 이용한 SQL Injecion 공격을 말하며 공격자는 이 연산자를 이용하여 원래의 요청에 한 개의 추가 쿼리를 삽입하여 정보를 얻어냄.
전제 조건 : 컬럼의 갯수가 같아야 하고 데이터 형식도 같아야 함.

( 2 ) UNION 연산자

< 예제 테이블 >

< UNION 연산자를 이용한 구문의 결과값 >

UNION 연산자를 사용하여 둘 이상의 SELECT문 결과를 단일 결과 집합으로 결합할 수 있음.
UNION 연산자를 사용하여 결합된 결과 집합은 모두 같은 구조를 가져야 함. 즉, 컬럼의 갯수가 같아야 하며 해당 결과 집합 컬럼은 호환되는 데이터 형식을 가져야 함.
UNION의 결과 집합 컬럼 이름은 UNION의 첫 번째 SELECT문의 결과 집합에 있는 컬럼 이름과 동일함. 다른 SELECT문의 결과 집합 컬럼 이름은 무시됨.
기본적으로 UNION 연산자는 결과 집합에서 중복 행을 제거함.
참고로 ALL 옵션을 사용하면 결과에 모든 행이 포함되고 중복 행은 제거되지 않음.

참고 사이트 : http://msdn.microsoft.com/ko-kr/library/ms191141(v=sql.105).aspx

( 3 ) SQL Injection에 주로 사용되는 문자열

문자열	설명
'	문자 데이터 구분 기호
;	쿼리 구분 기호
--, #	해당 라인 주석 구분 기호 -- Oracle, MSSQL # MySQL
/* */	/* 와 */ 사이 구문 주석
\| \|	문자 연결 (Oracle 에만 해당)

( 4 ) Union SQL Injection 공격 실습환경

< 모의해킹 홈페이지 >

"IT CookBook 정보 보안 개론과 실습 - 인터넷 해킹과 보안" 책의 소스로 간단히 모의해킹 홈페이지를 만듬.
ASP + IIS + MSSQL 2000 에서 실습함.

구분	설명
OS	Windows 2000 SP4
Web Language	ASP
WAS	IIS
DB	MSSQL 2000

< 모의해킹 홈페이지 기본 정보 >

열 이름	데이터 형식	길이	Null 허용	기본키 설정
id	int	4		설정
user_id	varchar	20
name	varchar	20
user_pw	varchar	20
nickname	varchar	20
zipcode	varchar	50	허용
address1	varchar	50	허용
address2	varchar	50	허용
email	varchar	50	허용
homepage	varchar	50	허용

< member 테이블 구조 >

열 이름	데이터 형식	길이	Null 허용	기본키 설정
zipcode_id	varchar	10
zipcode	varchar	30
sido	varchar	20	허용
gugun	varchar	40	허용
dong	varchar	40	허용
bunji	varchar	40	허용
ho	varchar	40	허용

< zipcode 테이블 구조 >

( 5 ) Union SQL Injection 공격 실습

< 우편번호 검색창 >

< 검색창 관련 ASP 코드 >

Union SQL Injecion 공격을 실행시킬 곳을 찾아야 함. 주로 우편번호 검색창 등과 같이 파라미터 길이가 비교적 긴 검색 결과를 보여줄 수 있는 페이지에서 실행함. 최종적으로 다양한 공격 코드들을 실행시켜 다른 사용자의 ID, PW를 알아내는 게 목표로 정함. 위 우편번호 검색창을 보면 컬럼 7개 중에 1번 컬럼과 7번 컬럼은 출력이 안 되는 걸 알 수가 있으며 이점을 유념해서 Union SQL Injecion 공격을 실행할 때 유념해야 함.

먼저 컬럼 갯수를 알아내야 함. 아래 공격 코드들을 하나씩 실행시켜보면 인후동' order by 8-- 부분에서 오류가 뜸.
ORDER BY 절을 사용하여 행을 정렬해서 결과값을 보여줌. SELECT 문의 마지막에 작성되며 정렬 조건으로 표현식, 별칭 또는 컬럼 위치를 지정해야 함. 여기서 숫자를 넣어서 정렬을 할 수가 있는데 숫자는 해당 순서의 컬럼을 뜻하며 그 순서의 컬럼으로 정렬하겠다는 뜻임. 그래서 컬럼의 갯수보다 더 높은 숫자를 넣으면 오류가 뜸. 그 오류를 통해서 컬럼의 갯수를 파악할 수 있음.
검색창 관련 테이블(zipcode)의 컬럼 갯수가 7개임.

인후동' order by 1--
인후동' order by 2--
인후동' order by 3--
인후동' order by 4--
인후동' order by 5--
인후동' order by 6--
인후동' order by 7--
인후동' order by 8-- <--- 에러

< 인후동' order by 8-- 공격 코드 넣을 때 에러페이지 노출 >

DB 정보를 알아내야함. DB 종류와 버전 별로 공격 코드에 차이가 있으며 그에 맞는 공격 코드로 공격을 해야 함.
Union SQL Injection 공격 시 반드시 컬럼의 갯수가 같아야 하며 데이터 형식도 같아야 함.
원하는 정보를 출력할 컬럼에 원하는 데이터 값을 넣고 나머지 컬럼에는 쓰레기 값을 넣음.
(참고로 테스트 중인 우편번호 검색창 출력 화면에는 1번 컬럼과 7번 컬럼이 출력이 안 됨)
아래의 공격 코드를 실행 시 DB 정보가 출력됨.

인후동' union select '1', '2', '3', '4', '5', @@version, '7' --