오늘도 삽질중

프로젝트에서 동적으로 쿼리를 처리하는 API 에서 SQL Injection이 발생하는 취약점이 확인됬다. 발생 위치는 페이징 처리 API 에서 파라미터로 sort 를 넘겨주는 부분에 임의의 쿼리를 삽입 할 경우 그대로 실행되었다. 직접 테스트해보니 DB 자체에 sleep 을 걸수도 있고, 잘하면 삭제 및 데이터 추가도 가능하다고 판단되었다. 우선 해당 프로젝트는 아래처럼 구조가 되어있다. getOrderByProperty 는 아래처럼 구성되어 있다. protected OrderSpecifier[] getOrderByProperty(Sort sort, Class clazz){ return sort.stream().map(x -> { //문제가 되는 부분 String property = x.getProper..