PRACTICE MATERIAL
FTP · 실습·개념 참고 화면 8
「SQL INJECTION」 문맥에 삽입된 원본 실습·개념 참고 화면이다. SQL 인젝션 학습 내용과 함께 당시 구성·설정·관찰 결과를 비교할 수 있다.
CONCEPT → PRACTICE → VERIFICATION
DVWA의 문자열 결합 쿼리와 결과 열을 연결하기
입력→SQL 문자열→DB 결과→화면의 연결을 읽고, 매개변수 바인딩이 바꾸는 경계를 설명한다.
- 입력이 SQL 문법 안으로 들어가는 위치를 찾는다소스에서 GET의 id를 읽은 뒤 WHERE user_id = '$id'에 그대로 넣는 흐름을 따라간다. 따옴표와 변수 값이 하나의 SQL 문자열로 합쳐진다.
- 결과 열의 모양이 유지되는 이유를 읽는다교육 화면은 UNION으로 결합된 두 열이 기존 이름·성 표시 위치에 나타나는 사례다. 결과 집합의 열 수와 호환 가능한 형식이 맞아야 결합될 수 있다.
- 정상 조회를 유지하면서 구조를 고정한다준비된 쿼리의 값 자리에 사용자 입력을 바인딩한다. 정렬 열처럼 바인딩할 수 없는 구조는 허용 목록으로 고른다.
