곰탱이의 개인블로그

http://www.sqler.com/344564

자동화된 SQL Injection 공격을 통한
악성코드 대량 삽입 수법 분석

관련 자료입니다.

2월 10일 세미나에서도 거론했었죠.

TR-2008-007-MassSQLinjection.pdf

쓸만한게 없네 윤선식입니다.

여러군데 나온 적 있는 .NET CLR을 사용한 음력/양력 달력 만들기를 간단하게 설명하고자 합니다.

1. 새 프로젝트로 데이터베이스의 SQL CLR 프로젝트로 만듭니다.

2. 이 때 SQL 연결설정을 해 주셔야 합니다. SQL Server Project는 SQL 2005 이상이어야 합니다.

3. 프로젝트를 생성하면 클래스가 나옵니다. 이 때 다음과 같이 .NET Code를 넣어주시면 됩니다.

  음력/양력 변환 소스인데요. 원리는 여러 군데 게시판에 있으니 설명을 생략하겠습니다.

using System;

using System.Data;

using System.Data.SqlClient;

using System.Data.SqlTypes;

using Microsoft.SqlServer.Server;

using System.Globalization;

public partial class UserDefinedFunctions

{

        [Microsoft.SqlServer.Server.SqlFunction]

        public static SqlDateTime Udf_Lunar2Solar(SqlDateTime sDt)

        {

               DateTime dt = (DateTime)sDt;

               bool bExistLeap = false;

               KoreanLunisolarCalendar kr_Lunnar = new KoreanLunisolarCalendar();

               int _lunnarYY = kr_Lunnar.GetYear(dt);

               int _lunnarMM = kr_Lunnar.GetMonth(dt);

               int _lunnarDD = kr_Lunnar.GetDayOfMonth(dt);

               if (kr_Lunnar.GetMonthsInYear(_lunnarYY) > 12)   

               {

                       bExistLeap = kr_Lunnar.IsLeapMonth(_lunnarYY, _lunnarMM);

                       int intLeap_mm = kr_Lunnar.GetLeapMonth(_lunnarYY);

                       if (_lunnarMM >= intLeap_mm)

                       {

                              _lunnarMM--;

                       }

               }

               return Convert.ToDateTime(_lunnarYY.ToString() + "-" + _lunnarMM.ToString() + "-" + _lunnarDD.ToString());

        }

};

4. .NET CLR을 SQL에 사용하려면 DB 설정을 변경해야 합니다.

Isolation Level 중 Snapshot 설명입니다.

큰 이미지 파일은 첨부파일을 보시면 됩니다.

1.  Session 1.

 - DB 옵션에서 SNAPSHOT 격리수준을 사용가능하도록 변경합니다.

2. Session 1.

 - 테이블을 생성합니다.

3. Session 1.

  - 임의의 데이터를 넣습니다. SEQ 10만 보시면 됩니다.

4. Session 1.

  - 트랜잭션을 시작하면서 10의 "가"를 "ABC"로 변경합니다.

5. Session 1.

  - SELECT 해 보면 "ABC"로 나옵니다.

6. Session 2.

  - 격리수준을 SNAPSHOT으로 설정합니다.

7. Session 2.

  - 트랜잭션을 시작하고, SEQ 10을 SELECT 해 보면 이전 값인 "가"가 표시됩니다.

8. Session 1.

  - Session 1의 Update한 내역을 Commit합니다.

9. Session 1.

  - Session 1에서 "10"의 값을 가져오면 당연히 변경된 "ABC"로 가져옵니다.

10. Session 2.

  - Session 2에서 "10"의 값을 SELECT 하면 여전히 이전 값인 "가"입니다.

11. Session 2.

   - Commit합니다. 이렇게 되면 Session2의 트랜잭션도 종료됩니다.

12. Session 2.

  - 이제 "10"을 SELECT하면 변경된 값인 "ABC"로 가져옵니다.

즉, SNAPSHOT은 다른 트랜잭션의 종료유무와 상관없이 해당 트랜잭션에서는 동일한 값이 유지됨을 알 수 있습니다.

이상입니다.

저 또한 처음 SQL을 시작할 때에는 제 마음대로 이름을 적곤 했지만,

시간이 지나면 지날수록 정말 보기 힘들다는 것을 알게 되죠.

물론 sysobjects 명령어를 사용해서 가져오면 되지만,

명명규칙을 정하고 나면, Object 이름만 봐도 무엇인지 알 수 있게 됩니다.

회사마다 차이점은 있겠지만, 일반적인 개체 명명 방법은 이렇습니다.

1.     Object 앞에 접두사 또는 뒤에 접미어 사용 : Upper Case

2.     Camel Case 와 _ 사용

접두어 또는 접미어 이외에는 보통 다음과 같은 규칙을 적용합니다.

1.     테이블에 속해 있는 경우 테이블명 표시

-       FK는 주/종 관계를 표시

-       제약조건은 해당 컬럼명 표시 : _CK / _DF / _UN 등의 접미어 표현 또는 아예 이를 접두사로 사용하는 경우도 많습니다.

-       Index : Clustered Index인 경우 Primary Key가 아니면 _C 를 붙이기도 합니다.

-       Trigger : Insert / Update / Delete 등의 행위를 보통 접두어에 포함합니다.

2.     함수나 프로시저 등은 그 성격을 그대로 표시

-       함수는 동사(Action) + 반환(Return) 으로 표시하거나 그 반대로 표시 : 정하기 나름

-       프로시저는 업무의 성격이나 로직의 Action을 담는 경우가 많습니다.(CRUD)

è  UP_Select_~~~ / UP_Delete_~~~ / UP_Make_~~~

정말 회사마다 차이점이 있습니다. 이게 정답은 아니니… 오해 마시길.~

Naming Rule 만 정리해도 문서 하나라능...