NoSQL Injection

Tue, 07 Jul 2026 00:00:00 +0000

데이터베이스는 데이터를 저장하고 조회하는 시스템이다. 오랫동안 그 표준은 관계형(SQL) DB였고, NoSQL은 그 대안으로 나온 부류다. 이 글은 NoSQL이 뭐고, SQL과 무엇이 다르고, 그래서 보안상 왜 다른 취약점이 생기는지를 배경지식 없이도 따라오게 순서대로 잇는다.

기준점: 관계형(SQL)

비교 대상을 먼저 세우자. 관계형 DB(MySQL, PostgreSQL 등)는 데이터를 표(테이블)로 저장한다. 행과 열이 있고, 어떤 열이 어떤 타입인지를 미리 정한 설계도(스키마)가 고정돼 있다. 조회는 SQL이라는 문자열 언어로 한다.

`1`	`SELECT * FROM users WHERE id = 'admin'`

구조가 엄격한 대신 데이터 간 관계와 정합성을 관리하는 데 강하다. 그리고 취약점(SQL Injection)도 이 성질에서 나온다 — 쿼리가 문자열이라, 그 문자열 조립에 문법을 끼워넣는 공격이다.

SQL Injection

Tue, 07 Jul 2026 00:00:00 +0000

1. 결함의 본질

사용자 입력이 “데이터"가 아니라 “쿼리 문법의 일부"로 해석되는 결함. 서버가 입력값을 SQL 문자열에 그대로 이어붙이면, 입력 안의 따옴표나 키워드가 쿼리의 구조 자체를 바꿔버린다.

주입 계열은 다 같은 뿌리를 공유한다 — 데이터와 코드의 경계가 무너져 데이터가 코드로 승격되는 것. 다만 노리는 해석기가 다르다. SQLi는 SQL 파서, NoSQL Injection은 쿼리 객체의 타입·구조, Command Injection은 셸, XSS는 브라우저의 JS 엔진. 이 관점이 서면 새 주입 취약점을 만나도 “어느 해석기로 승격되나"만 물으면 된다.

SQLi on Stacknoah

NoSQL Injection

기준점: 관계형(SQL)

SQL Injection

1. 결함의 본질