[보안뉴스 김정완] 방화벽이나 기타 보안 솔루션 방어 우회가 가능한 신규 SQL 인젝션 취약점이 발견돼 사용자들의 주의가 요망된다.

웹 애플리케이션 보안 전문기업인 트리니티소프트(대표 김진수)에 따르면 SQL Injection 공격은 데이터베이스를 관리하는 SQL 명령어에 공격코드를 넣어 해커가 원하는 동작을 하도록 하는 공격기법으로 로그인 인증을 우회하거나 데이터베이스에 있는 아이디, 패스워드, 주민번호 등 개인정보를 유출하는 기법이다.

SQL 인젝션으로 로그인 인증 우회 공격 시 일반적으로 ┖or 1=1 # 코드로 공격하여 1(True) 값이 나오도록 하지만 트리니티소프트에서 발견한 기법은 ┖&1# 코드가 오면 0(False) 값으로 리턴 되어도 인증 우회가 가능한 공격이다.

또한, SQL 공격 시 기존에 자주 사용되던 ┖and%201=1┖ 공백(space bar) 대신에 %23%0a 같은 특수한 값을 사용해도 되며, and 연산 대신에 ┖1^%23%0a1=1┖ 과 같이 ^(XOR) 같은 연산을 삽입하여도 공격이 가능하다. 만약 기존 방법으로 웹 애플리케이션을 방어하고 있다면 이번 신규 공격은 막을 수 없을 것이라는 게 트리니티소프트 측의 설명이다.

트리니티소프트 측은 ‘exploit-db.com(국제적인 신규취약점 공유 사이트)’를 통하여 해당 공격에 대한 위험도를 검증받았으며, 현재 자사 웹방화벽(Webs-Ray)의 패치도 모두 완료했다고 밝혔다.

제목 : False SQL Injection and Advanced Blind SQL Injection

링크 : http://www.exploit-db.com/papers/18263/

트리니티소프트 관계자는 “웹방화벽 같은 기존 대책으로는 공격을 우회할 수 있는 통로가 여전히 남아있기 때문에 ‘시큐어코딩 솔루션’ 제품 등을 이용해 개발단계에서부터 보안 취약점을 고려한 정밀한 보안정책을 세우는 것이 중요하다”며, “SQL 인젝션 공격 등으로 개인정보가 유출될 경우 보이스피싱 등 2차 피해가 우려되는 만큼 다른 웹 보안 기업들도 이번 신규 취약점에 대한 빠른 보안 패치가 요구된다”고 밝혔다.

한편, SQL 인젝션은 미국 MITRE 및 SANS 연구소에서 발표한 ‘2011년 CWE/SANS Top25’ 에서도 가장 취약한 ‘보안취약점’으로 언급된 바 있다.

[김정완 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>