반응형 sqlinjection2 SQL 삽입 공격 : Hibernate - 질의문 생성 시 상수 문자열만 사용한다. - 외부의 입력에 따라 질의문을 수정해야 한다면 인자를 받는 질의문을 상수 문자열로 생성한 후, 쿼리의 인자값을 setParameter(), set() 등의 메소드를 사용하여 설정한다. 안전하지 않은 코드 1 ▼ public void listHoney() { Session session = new Configuration().configure().buildSessionFactory().openSession(); try { Properties props = new Properties(); String fileName = "Hibernate.properties"; FileInputStream in = new FileInputStream(fileName); prop.. 2023. 2. 1. SQL 삽입공격 : mybatis Data Map - 외부에서 입력된 값이 질의어의 인자값으로만 사용되지 않고, 질의 명령어에 연결되는 문자열로 사용되면, 공격자가 의도하지 않았던 문자열을 전달할 수 있다. - 문자열 삽입 인자($...$) 를 사용하지 않고 ## 형태의 질의문을 사용한다. DELETE STUDENTS WHERE NUM = #num# AND Name = '$name$' ▼ DELETE STUDENTS WHERE NUM = #num# AND Name = '#name#' 2022. 11. 18. 이전 1 다음 반응형