격리 환경의 SQL 인젝션 관찰

DVWA의 문자열 결합 쿼리와 결과 열을 연결하기

입력→SQL 문자열→DB 결과→화면의 연결을 읽고, 매개변수 바인딩이 바꾸는 경계를 설명한다.

1. 입력이 SQL 문법 안으로 들어가는 위치를 찾는다소스에서 GET의 id를 읽은 뒤 WHERE user_id = '$id'에 그대로 넣는 흐름을 따라간다. 따옴표와 변수 값이 하나의 SQL 문자열로 합쳐진다.
2. 결과 열의 모양이 유지되는 이유를 읽는다교육 화면은 UNION으로 결합된 두 열이 기존 이름·성 표시 위치에 나타나는 사례다. 결과 집합의 열 수와 호환 가능한 형식이 맞아야 결합될 수 있다.
3. 정상 조회를 유지하면서 구조를 고정한다준비된 쿼리의 값 자리에 사용자 입력을 바인딩한다. 정렬 열처럼 바인딩할 수 없는 구조는 허용 목록으로 고른다.