SQL 인젝션(SQL Injection)이란? 실제 뚫리는 PHP 코드로 이해하기

 

안녕하세요, 커피 한 잔의 여유와 함께 IT 이야기를 나누는 CoLife입니다.

오늘 아침, 예전에 함께 일했던 주니어 개발자 녀석에게 연락이 왔어요. 서비스 런칭을 앞두고 보안 점검을 받는데, 생각지도 못한 곳에서 취약점이 나왔다며 울상이더군요. 그 친구의 고민을 듣다 보니, CoLife가 개발 새내기 시절에 겪었던 아찔한 기억이 떠올랐습니다.

맞아요. 오늘은 우리 개발자들이 가장 흔하게 실수하지만, 그 결과는 참혹할 수 있는 **SQL 인젝션(SQL Injection)**에 대해 이야기해 보려고 합니다. 20년 전이나 지금이나, 이 녀석은 여전히 우리를 노리고 있거든요.

도대체 SQL 인젝션이 뭔가요?

쉽게 말해, 해커가 악의적인 SQL 구문을 입력창에 주입하여, 우리가 의도하지 않은 데이터베이스 명령을 실행하게 만드는 공격입니다.

우리집 대문에 '환영합니다'라고 써놨더니, 손님이 그 밑에 작은 글씨로 '집주인은 모든 재산을 나에게 넘긴다'라고 써놓고 대문을 통과해버리는 것과 같아요. 대문(애플리케이션)은 그 글씨를 보고 손님의 정당한 요구인 줄 착각하고 비밀번호를 열어주는 셈이죠.

실제로 뚫리는 코드, 이렇게 생겼습니다

가장 흔한 예시는 로그인 화면입니다. 우리가 흔히 작성하는, 하지만 아주 위험한 PHP 코드를 한번 볼까요?

*⚠️ 아래 코드는 교육 및 이해를 돕기 위한 예시이며, 실제 서비스에 절대 사용하면 안 됩니다.

PHP

 

<?php
// DB 연결 설정 (생략)
$conn = mysqli_connect($servername, $username, $password, $dbname);

// 사용자 입력값 받아오기
$userId = $_POST['id'];
$userPw = $_POST['password'];

// *** 아주 위험한 쿼리 생성 방식 ***
$sql = "SELECT * FROM users WHERE user_id = '$userId' AND user_pw = '$userPw'";

$result = mysqli_query($conn, $sql);

if (mysqli_num_rows($result) > 0) {
    echo "로그인 성공! 환영합니다, " . $userId . "님.";
} else {
    echo "아이디 또는 비밀번호가 틀렸습니다.";
}
?>

이 코드가 왜 위험할까요?

정상적인 입력: 아이디에 colife, 비밀번호에 1234를 넣으면, 쿼리는 SELECT * FROM users WHERE user_id = 'colife' AND user_pw = '1234'가 됩니다. 문제없죠.

해커의 입력: 하지만 해커가 비밀번호 칸에 ' OR '1'='1 이라고 입력하면 어떻게 될까요?

최종 SQL 쿼리는 이렇게 바뀝니다:

SQL

 

SELECT * FROM users WHERE user_id = 'admin' AND user_pw = '' OR '1'='1'

데이터베이스는 OR '1'='1'이라는 조건 때문에 비밀번호가 맞지 않아도 이 쿼리를 무조건 참(True)으로 판단합니다. 결과적으로 해커는 비밀번호 없이도 admin 계정으로 유유히 로그인하게 되는 것이죠. 이것이 SQL 인젝션의 기본 원리입니다.

CoLife의 20년 차 인사이트: "입력값은 절대 믿지 마세요"

20년 넘게 코드를 만지면서 얻은 철칙 중 하나는, **"서비스 외부에서 들어오는 모든 데이터는 오염되었다"**고 가정하는 것입니다.

사용자가 입력하는 아이디, 비밀번호, 게시글 제목, 심지어 URL 파라미터까지, 개발자가 의도한 데이터만 들어올 것이라는 기대를 버려야 합니다.

많은 주니어 개발자가 "설마 우리 서비스를 누가 공격하겠어?" 혹은 "입력 글자 수를 제한했으니 괜찮겠지?"라는 안일한 생각으로 위와 같은 코드를 작성합니다. 하지만 보안 사고는 늘 그 '설마'하는 틈을 타고 들어옵니다. SQL 인젝션은 단순히 로그인을 우회하는 것을 넘어, 데이터베이스의 모든 내용을 삭제하거나, 회원 정보를 통째로 탈취할 수도 있는 치명적인 공격입니다.

우리는 '기능'을 구현하는 사람이기도 하지만, 사용자의 '데이터'를 보호해야 하는 책임을 가진 사람임을 잊지 말아야 해요.

어떻게 막아야 할까요? (이것만은 꼭!)

해결책은 의외로 간단합니다. 딱 두 가지만 기억하세요.

1. Prepared Statement (준비된 선언) 사용하기: 이게 가장 중요합니다. 쿼리의 구조를 먼저 정의하고, 입력값은 나중에 바인딩하는 방식입니다. 입력값이 SQL 구문으로 해석되는 것을 원천 봉쇄합니다.
2. ORM (Object-Relational Mapping) 프레임워크 활용: Eloquent (PHP), Sequelize (Node.js), JPA (Java) 같은 ORM을 사용하면 내부적으로 Prepared Statement를 사용하여 SQL 인젝션을 상당 부분 자동으로 예방해 줍니다.

---

오늘은 개발자에게는 운명과도 같은 주제, SQL 인젝션에 대해 이야기해 봤습니다.

오늘 작성하신 코드를 한번 다시 들여다보시는 건 어떨까요? 혹시 나도 모르게 '집주인은 재산을 넘긴다'라는 문장을 허용하고 있지는 않은지 말이죠. 보안은 어렵지만, 작은 관심에서 시작됩니다.

여러분의 프로젝트는 안전하신가요? 댓글로 여러분의 경험담이나 궁금한 점을 남겨주세요. CoLife가 함께 고민해 드릴게요!

커피가 다 식었네요. 다음에 더 흥미로운 주제로 찾아오겠습니다. 감사합니다.