야 솔직히 말해서... SQL Injection이 뭔지 모르는 개발자가 아직도 있다는 거 알지? 😅
근데 더 무서운 건, 알면서도 방어 안 하는 경우가 훨씬 많다는 거임ㅋㅋ
OWASP(오픈 웹 애플리케이션 보안 프로젝트)에서 매년 발표하는 Top 10 보안 취약점에서
SQL Injection은 거의 매번 상위권을 차지하고 있어. 진짜 레전드급 공격임.

이 글에서는 SQL Injection이 어떻게 작동하는지, 그리고 어떻게 막는지를
실제 코드 예시와 함께 완전 팩트 위주로 정리해볼게. 개발자라면 반드시 알아야 하는 내용이니까
커피 한 잔 들고 편하게 읽어봐 ☕

SQL Injection(SQL 인젝션)은 공격자가 웹 애플리케이션의 입력 필드에 악의적인 SQL 코드를 삽입해서
데이터베이스를 조작하는 공격 기법이야. 1998년에 처음 공개적으로 문서화된 이후로
무려 25년 넘게 현역으로 활약 중인 레전드 공격임 ㄷㄷ

실제로 얼마나 심각하냐면:

이게 왜 이렇게 오래 살아남냐고? 이유가 있어.
공격하기 쉽고, 방어를 안 하는 사이트가 아직도 많기 때문이야.
특히 빠르게 개발하다 보면 보안을 놓치는 경우가 진짜 많거든. 😅

SQL Injection의 핵심 원리는 "사용자 입력값이 SQL 쿼리의 일부로 직접 삽입"되는 거야.
코드로 보면 바로 이해됨.

PHP로 작성된 로그인 처리 코드를 보자:

// ❌ 취약한 코드 (절대 이렇게 하지 마!)
$id = $_POST['username'];
$pw = $_POST['password'];

$query = "SELECT * FROM users WHERE username='" . $id . "' AND password='" . $pw . "'";
$result = mysqli_query($conn, $query);

if(mysqli_num_rows($result) > 0) {
    echo "로그인 성공!";
}

이 코드에서 사용자가 입력한 값이 그대로 SQL 쿼리 문자열에 붙어버려.
여기서 공격자가 이렇게 입력하면 어떻게 될까?

그러면 실제로 실행되는 쿼리는:

SELECT * FROM users WHERE username='admin' --' AND password='아무거나'

SQL Injection은 한 가지 방법만 있는 게 아니야. 진짜 다양한 변형이 있어.

이론만 보면 감이 안 오니까, 실제 시나리오로 보여줄게.
쇼핑몰 사이트가 있다고 가정하자. 상품 검색 기능이 있고, URL이 이런 식이야:

https://shop.example.com/product?id=123

서버 코드는 이렇게 생겼어:

// ❌ 취약한 코드
$id = $_GET['id'];
$query = "SELECT * FROM products WHERE id = " . $id;
$result = mysqli_query($conn, $query);

SQL Injection 방어의 핵심 중의 핵심이야.
Prepared Statement(준비된 구문)는 SQL 쿼리의 구조와 데이터를 완전히 분리해서 처리해.
이게 왜 효과적이냐면, 사용자 입력값이 아무리 SQL 명령어처럼 생겨도
그냥 문자열 데이터로만 처리되기 때문이야.

PHP (PDO 방식):

// ✅ 안전한 코드 - PDO Prepared Statement
$pdo = new PDO("mysql:host=localhost;dbname=mydb", $user, $pass);

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->execute([$username, $password]);
$result = $stmt->fetchAll();

// ✅ 안전한 코드 - PDO Named Parameter
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
$stmt->execute([':username' => $username, ':password' => $password]);

PHP (MySQLi 방식):

// ✅ 안전한 코드 - MySQLi Prepared Statement
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();

Java (JDBC 방식):

// ✅ 안전한 코드 - Java JDBC
String query = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = conn.prepareStatement(query);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();

Python (sqlite3 방식):

# ✅ 안전한 코드 - Python sqlite3
cursor.execute("SELECT * FROM users WHERE username = ? AND password = ?", 
               (username, password))

# ✅ 안전한 코드 - Python MySQL Connector
cursor.execute("SELECT * FROM users WHERE username = %s AND password = %s", 
               (username, password))

Node.js (mysql2 방식):

// ✅ 안전한 코드 - Node.js mysql2
const [rows] = await connection.execute(
  'SELECT * FROM users WHERE username = ? AND password = ?',
  [username, password]
);

ORM(Object-Relational Mapping)을 사용하면 SQL을 직접 작성하지 않아도 돼.
대부분의 ORM은 내부적으로 Prepared Statement를 사용하기 때문에
기본적으로 SQL Injection에 안전해.

Python Django ORM:

# ✅ 안전한 코드 - Django ORM
from django.contrib.auth.models import User

# 이렇게 하면 내부적으로 Prepared Statement 사용
user = User.objects.filter(username=username, password=password).first()

# ❌ 이건 위험! raw() 사용 시 직접 파라미터 바인딩 필요
# User.objects.raw("SELECT * FROM users WHERE username='" + username + "'")

Python SQLAlchemy:

# ✅ 안전한 코드 - SQLAlchemy ORM
from sqlalchemy.orm import Session

user = session.query(User).filter(
    User.username == username,
    User.password == password
).first()

Java Spring JPA:

// ✅ 안전한 코드 - Spring JPA
@Repository
public interface UserRepository extends JpaRepository<User, Long> {
    Optional<User> findByUsernameAndPassword(String username, String password);
}

Prepared Statement를 쓰는 게 최선이지만, 추가적인 방어층으로 입력값 검증도 해줘야 해.
이건 화이트리스트 방식이 블랙리스트 방식보다 훨씬 안전해.

// ✅ 화이트리스트 방식 - 허용된 값만 통과
function validateOrderBy($column) {
    $allowed_columns = ['id', 'name', 'price', 'created_at'];
    
    if (in_array($column, $allowed_columns)) {
        return $column;  // 허용된 컬럼명만 반환
    }
    
    return 'id';  // 기본값 반환
}

// 사용 예시
$orderBy = validateOrderBy($_GET['sort']);
$query = "SELECT * FROM products ORDER BY " . $orderBy;  // 안전!

// ❌ 블랙리스트 방식 - 위험한 문자 제거 (완벽하지 않음!)
function blacklistFilter($input) {
    $dangerous = ["'", '"', ';', '--', '/*', '*/', 'DROP', 'DELETE', 'INSERT'];
    return str_ireplace($dangerous, '', $input);
}
// 이 방식은 우회 가능! 권장하지 않음

// ✅ 데이터 타입 검증
function validateId($id) {
    // 숫자만 허용
    if (!is_numeric($id) || $id <= 0) {
        throw new InvalidArgumentException("유효하지 않은 ID입니다.");
    }
    return (int)$id;  // 정수로 형변환
}

// PHP에서 정수형으로 강제 변환
$id = (int)$_GET['id'];  // 문자열이 들어와도 정수로 변환됨

// 이메일 형식 검증
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
if (!$email) {
    die("유효하지 않은 이메일 형식입니다.");
}

이건 SQL Injection이 성공했을 때의 피해를 최소화하는 방어 전략이야.
웹 애플리케이션이 사용하는 DB 계정에 꼭 필요한 권한만 부여하는 거야.

-- ✅ 최소 권한 DB 계정 설정 예시 (MySQL)

-- 읽기 전용 계정 (조회만 필요한 경우)
CREATE USER 'webapp_read'@'localhost' IDENTIFIED BY '강력한비밀번호';
GRANT SELECT ON mydb.* TO 'webapp_read'@'localhost';

-- 일반 웹앱 계정 (CRUD만 허용)
CREATE USER 'webapp_user'@'localhost' IDENTIFIED BY '강력한비밀번호';
GRANT SELECT, INSERT, UPDATE, DELETE ON mydb.* TO 'webapp_user'@'localhost';

-- ❌ 이렇게 하면 안 됨! (모든 권한 부여)
-- GRANT ALL PRIVILEGES ON *.* TO 'webapp_user'@'localhost';

SQL 에러 메시지를 그대로 사용자에게 보여주면 공격자에게 엄청난 정보를 주는 거야.
DB 종류, 테이블 구조, 쿼리 내용 등이 노출될 수 있어.

// ❌ 위험한 코드 - 에러 메시지 그대로 출력
try {
    $result = $pdo->query($query);
} catch (PDOException $e) {
    echo "에러: " . $e->getMessage();  // DB 구조 노출!
}

// ✅ 안전한 코드 - 에러 로깅 + 일반 메시지 출력
try {
    $result = $pdo->query($query);
} catch (PDOException $e) {
    // 에러는 서버 로그에만 기록
    error_log("DB Error: " . $e->getMessage());
    
    // 사용자에게는 일반적인 메시지만
    echo "서비스 오류가 발생했습니다. 잠시 후 다시 시도해주세요.";
}

PHP 설정에서도 에러 표시 끄기:

// php.ini 또는 코드에서 설정
ini_set('display_errors', 0);      // 에러 화면 표시 끄기
ini_set('log_errors', 1);          // 에러 로그 파일에 기록
ini_set('error_log', '/var/log/php_errors.log');  // 로그 파일 경로

WAF(Web Application Firewall)는 HTTP 트래픽을 분석해서
SQL Injection 패턴을 감지하고 차단하는 보안 장치야.

저장 프로시저를 사용하면 SQL 로직이 DB 서버에 미리 저장되어 있어서
애플리케이션에서 직접 SQL을 작성하지 않아도 돼.

-- ✅ MySQL 저장 프로시저 생성
DELIMITER //
CREATE PROCEDURE GetUser(IN p_username VARCHAR(50), IN p_password VARCHAR(255))
BEGIN
    SELECT id, username, email 
    FROM users 
    WHERE username = p_username AND password = p_password;
END //
DELIMITER ;

-- 애플리케이션에서 호출
CALL GetUser('홍길동', 'hashedpassword');

// PHP에서 저장 프로시저 호출
$stmt = $pdo->prepare("CALL GetUser(?, ?)");
$stmt->execute([$username, $password]);
$result = $stmt->fetchAll();

방어만큼 중요한 게 탐지야. 공격이 들어오고 있는지 모르면 대응도 못 하잖아.

# Nginx 로그에서 SQL Injection 패턴 탐지
grep -i "union\|select\|insert\|drop\|delete\|update\|exec\|script" /var/log/nginx/access.log

# 특정 IP의 비정상적인 요청 수 확인
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

Snort, Suricata 같은 네트워크 침입 탐지 시스템(IDS)을 활용하면
SQL Injection 패턴을 실시간으로 감지하고 차단할 수 있어.

개발 완료 후에는 반드시 보안 테스트를 해야 해.
취약점을 직접 찾아보는 게 최선이야.

개발 완료 후 이 체크리스트로 점검해봐! ✅

// ✅ Laravel Eloquent ORM - 기본적으로 안전
$user = User::where('username', $username)
            ->where('password', $password)
            ->first();

// ✅ Laravel Query Builder - 파라미터 바인딩 자동
$user = DB::table('users')
          ->where('username', $username)
          ->where('password', $password)
          ->first();

// ✅ Raw Query 사용 시 바인딩 필수
$user = DB::select('SELECT * FROM users WHERE username = ? AND password = ?', 
                   [$username, $password]);

# ✅ Django ORM - 기본적으로 안전
from django.contrib.auth.models import User
user = User.objects.get(username=username)

# ✅ Django Raw SQL - 파라미터 바인딩 사용
from django.db import connection
with connection.cursor() as cursor:
    cursor.execute("SELECT * FROM users WHERE username = %s", [username])
    row = cursor.fetchone()

# settings.py 보안 설정
DEBUG = False  # 운영 환경에서 반드시 False
ALLOWED_HOSTS = ['yourdomain.com']  # 허용 도메인 명시

// ✅ Spring Data JPA - 기본적으로 안전
@Repository
public interface UserRepository extends JpaRepository<User, Long> {
    // 메서드 이름으로 쿼리 자동 생성 (안전)
    Optional<User> findByUsername(String username);
    
    // @Query 사용 시 파라미터 바인딩 필수
    @Query("SELECT u FROM User u WHERE u.username = :username")
    Optional<User> findByUsernameQuery(@Param("username") String username);
}

// application.properties 보안 설정
spring.jpa.show-sql=false  // 운영 환경에서 SQL 로그 끄기

// ✅ Sequelize ORM - 기본적으로 안전
const user = await User.findOne({
    where: {
        username: username,
        password: password
    }
});

// ✅ mysql2 직접 사용 시 파라미터 바인딩
const [rows] = await pool.execute(
    'SELECT * FROM users WHERE username = ? AND password = ?',
    [username, password]
);

// Helmet.js로 보안 헤더 설정
const helmet = require('helmet');
app.use(helmet());

일반적인 SQL Injection은 입력 즉시 공격이 실행되는데,
Second-Order SQL Injection은 좀 더 교묘해. 😈

// 시나리오: 회원가입 시 악성 사용자명 저장
// 사용자가 입력한 username: admin'--

// 1단계: 저장 시 이스케이핑 적용 (안전해 보임)
$username = mysqli_real_escape_string($conn, $_POST['username']);
// $username = "admin'--" → 저장됨

// 2단계: 나중에 비밀번호 변경 기능에서 꺼내서 사용
$username = $row['username'];  // DB에서 꺼낸 값: admin'--
// 이스케이핑 없이 SQL에 직접 사용!
$query = "UPDATE users SET password='$newpw' WHERE username='$username'";
// 실행되는 쿼리: UPDATE users SET password='...' WHERE username='admin'--'
// admin 계정의 비밀번호가 변경됨!

SQL Injection은 오래된 공격이지만 여전히 현역이야.
OWASP Top 10에서 2021년 기준으로 "Injection" 카테고리가 3위를 차지하고 있어.
(2017년까지는 1위였음. 여전히 상위권 유지 중 ㄷㄷ)

근데 사실 방어 방법은 명확해. 복잡하지도 않아.

개발할 때 처음부터 보안을 고려하는 "Security by Design" 마인드셋이 중요해.
나중에 보안 패치하는 게 처음부터 안전하게 짜는 것보다 훨씬 힘들고 비용도 많이 들어.