인프런 커뮤니티 질문&답변

안녕하세요.

강의  "대응 방안" 파트의 "상세 대응 방안(2)" 강의를 보던 중 궁금한점이 생겨서 질문드립니다.

1) 첫째로, 문자 입력에 대한 대응 방안으로 강의에서 예시로 제시했던 코드가 아래와 같습니다.

---------------------------------------------------------------------------

JAVA

String keyword = request.getParameter("keyword");

// MSSQL, ORACLE 대응 방안 예시

keyword = keyword.replace("'", "''");     <<<<<<<<< (1)

keyword = keyword.replace("\"", "\"\"");

query = "select * from board where keyword like '%" + keyword + "%'";

-------------------------------------------------------------------------------

이 부분에서   <<<<<<<< (1) 표시된 부분의 내용이 잘 이해가 되지 않아서요.

강의 하시면서 공격자가 '(작음따옴표) 하나를 입력하면 두개로 변하여 '(작은따옴표)가 검색이 된다고 말씀하셨는데요 

만약 공격자가 '(작은따옴표) 하나를 입력한 경우라면 이 하나의 '(작은따옴표)가 연속된 두개의 ''(작은 따옴표)로 변하여

query 는 다음과 같이 생성될 것입니다.

select * from board where keyword like '%''%'

이런식으로 되면 % 양쪽으로 그냥 '(작은따옴표)로 깜싸는 정도로 바뀔거라고 짐작하고 있는데요.

어떻게 '(작은따옴표)도 검색이 가능하게 되는지 이해가 되지 않습니다. 그리고 이 경우 mysql 경우 처럼 \' 패턴을 이용하면

우회가 가능한지도 궁금합니다.  

그리고....

2) 두번째로,  컬럼/테이블 입력에 대한 대응 방안으로 제시한 예제 코드의 일부는 다음과 같습니다.

boolean flag = Pattern.matches("^[0-9a-zA-Z-]*$", tb_name);

강의에서 설명해주셨던 것 처럼 이 코드 내용은 숫자, 알파벳 대소문자 그리고 -(대시 또는 하이픈)문자를 필터링하는 것인데요.

제 생각에는 -(대시) 문자 이외의  _(언더바) 문자가 추가되어야 하지 않을까 해서요? 

강의에서 사용하였던 "TB_BOARD" 처럼 _(언더바) 문자가 포함된 테이블이나 컬럼이 존재하는거로 봐서는요,

아니면 제시된 코드의 오타인걸로도 생각이 들고요. 

감사합니다~