Dartmouth College Oracle EBS 제로데이 공격 (2025년 8월)
Clop 그룹이 Oracle EBS 제로데이 취약점을 악용해 Dartmouth College를 포함한 100개 이상 조직에서 대규모 데이터를 탈취한 캠페인 분석
Oracle
2026.01.30 (Day 67) - Python을 활용한 Blind SQL Injection 자동화 공격
Python requests 모듈로 Boolean-based Blind SQL Injection 완전 자동화, 이진탐색 알고리즘으로 공격 효율 127배 향상(127회 -> 7회), 함수화된 이진탐색으로 Oracle DB 사용자명 완전 탈취, POST 요청 자동화 Brute Force 로그인 공격, CSRF 토큰 재사용·계정 잠금 부재 취약점 확인
2026.01.29 (Day 66) - Error-based SQL Injection
Oracle CTXSYS.DRITHSX.SN 함수로 DRG-11701 에러 메시지에 서브쿼리 결과 노출, ROWNUM으로 순차 추출·LISTAGG로 일괄 추출, MySQL extractvalue/updatexml 함수와 concat(0x3a, …) 패턴, LIMIT 순차 추출, 에러 메시지 노출 차단이 핵심 방어 전략
2026.01.28 (Day 65) - SQL Injection 공격 기법
주석 처리·OR 조건으로 Oracle 인증 우회, Union-based SQLi로 Oracle(user_tables)/MySQL(information_schema)/SQLite(sqlite_master) 순차 데이터 탈취, Boolean-based Blind SQLi에서 length()·substr()·ascii() 이진탐색으로 DB 사용자명 추출, DBMS별 메타데이터·주석·자료형 차이 비교
2026.01.27 (Day 64) - 웹 보안 기초 및 SQL Injection 입문
웹 애플리케이션 3계층 구조(웹 서버·WAS·DB), HTTP Stateless 특성과 Session/Cookie 상태 관리, URL/Base64/HTML 인코딩, SOP·CORS 브라우저 보안 정책, Oracle 사용자 생성(richman), SQL SELECT 기초, SQL Injection 인증 우회 원리(OR 조건·주석 처리)
Korean Air 직원 데이터 유출 사건 (공급망 공격)
Oracle EBS 제로데이 취약점을 통한 공급망 공격으로 대한항공 직원 3만 명 정보가 유출된 사건 분석