SQL injection

Blind SQL injection 

substr : 자를 문자열의 범위를 파라미터를 받아서 해당 부분의 문자열을 리턴해준다. 

Blind SQL injection 은 평범한 SQL Injection과 같이 원하는 데이터를 가져오는 쿼리를 삽입하는 기술이다.
하지만 SQL injection과 다른 점이 있다면 쿼리의 참과 거짓에 따른 서버의 반응만으로 데이터를 얻어낸다는 점이다.
즉 쿼리를 삽입했을 때 쿼리의 참과 거짓에 대한 반응을 구분할 수 있을 때 사용한다.
쿼리의 결과를 한글자씩 아스키코드로 변변환시키고 임의의 숫자와 비교하여 참과 거짓을 비교하는 과정을 거쳐가면서 질의를 보내면서 일치하는 아스키 코드를 찾아낸다. 많은 비교과정이 필요하기 때문에 Blind SQL Injection 공격은 자동화된 툴을 사용한다.

|| 을 or 대신에 쓸 수도 있다.