SOQL Injection

신뢰할 수 없는 소스의 데이터로 SOQL 쿼리를 실행하면 권한이 없는 데이터에 액세스할 수 있습니다.

SOQL(Salesforce Object Query Language)은 응용 프로그램 데이터베이스에서 관련 정보를 검색하도록 의도되었습니다. 사용자는 SOQL 쿼리를 사용하여 해당 데이터를 변경할 수 없습니다.

SOQL(Salesforce Object Query Language) injection 오류는 다음 경우에 발생합니다.

1. 신뢰할 수 없는 소스에서 데이터가 프로그램에 입력됩니다.


2. 해당 데이터는 사전 처리 또는 정화 없이 SOQL 쿼리를 동적으로 생성하는 데 사용됩니다.
예제 1: 다음 코드는 지정된 이름을 가진 연락처를 검색하는 SOQL 쿼리를 동적으로 생성하고 실행합니다.

...
public String inputValue {
  get { return inputValue; }
  set { inputValue = value; }
}
...
String queryString = 'SELECT Id FROM Contact WHERE (IsDeleted = false AND Name like \'%' + inputValue + '%\')';
result = Database.query(queryString);
...

이 코드가 실행하려는 쿼리는 다음과 같습니다.

SELECT Id FROM Contact WHERE (IsDeleted = false AND Name like '%inputValue%')

하지만 상수인 기본 쿼리 문자열과 사용자 입력 문자열을 연결하여 쿼리를 동적으로 생성하기 때문에, 쿼리는 inputValue에 작은따옴표가 들어 있지 않은 경우에만 정확하게 동작합니다. 공격자가 inputValue에 name') OR (Name like '% 문자열을 입력하면 쿼리는 다음과 같습니다.

SELECT Id FROM Contact WHERE (IsDeleted = false AND Name like '%name') OR (Name like '%%')

name') OR (Name like '% 조건을 추가하면 where 절이 LIKE '%%' 조건을 사용하게 됩니다. 이 조건은 훨씬 간단한 다음 쿼리와 논리적으로 동일하게 되므로 쿼리가 모든 가능한 ID 값을 출력하게 합니다.

SELECT Id FROM Contact WHERE ... OR (Name like '%%')

대부분의 데이터베이스 인터페이스와 달리, force.com 플랫폼의 SOQL은 세미콜론으로 구분된 여러 SOQL 문을 지원하지 않습니다. 이는 일반 SQL injection 공격의 경우에서처럼 여러 명령을 단일 쿼리로 연결할 수 없음을 의미합니다. 또한, Apex 데이터베이스는 주석을 지원하지 않으므로, 모든 작은따옴표, 괄호 또는 기타 특수 문자는 쌍으로 구성되어야 합니다.