DB 접두사 변경으로 SQL 인젝션 공격 성공률을 크게 낮춥니다

워드프레스 데이터베이스 접두사 변경은 SQL 인젝션 공격을 어렵게 만드는 방어 조치입니다. 워드프레스는 기본 설치 시 wp_users, wp_posts 처럼 wp_ 접두사를 사용합니다. 공격자는 이미 이 사실을 알고 있습니다. SQL 인젝션 공격 코드에 wp_users 테이블을 직접 타겟으로 넣는 경우가 흔합니다. 접두사를 hsp3k_ 같은 예측 불가능한 값으로 변경하면 이런 자동화 공격의 효과가 줄어듭니다.

신규 설치 시 변경 방법

신규 워드프레스 설치 시 변경이 가장 안전합니다. 설치 과정에서 접두사를 입력하는 화면이 나옵니다.

wp_ 대신 임의의 문자+숫자 조합을 사용하세요.

좋은 예: hsp3k_, med7x_, bwn2r_
나쁜 예: mysite_, hospital_ (예측 가능)

또는 wp-config.php에서 직접 설정합니다.

$table_prefix = 'hsp3k_';

운영 중인 사이트 변경 방법

운영 중인 사이트를 변경하는 건 더 복잡하고 위험합니다. 반드시 DB 전체 백업 후 진행하세요.

Better Search Replace 플러그인 또는 phpMyAdmin을 이용합니다.

phpMyAdmin을 이용한 수동 변경:

-- 각 테이블명 변경
RENAME TABLE `wp_comments` TO `hsp3k_comments`;
RENAME TABLE `wp_links` TO `hsp3k_links`;
RENAME TABLE `wp_options` TO `hsp3k_options`;
RENAME TABLE `wp_postmeta` TO `hsp3k_postmeta`;
RENAME TABLE `wp_posts` TO `hsp3k_posts`;
RENAME TABLE `wp_termmeta` TO `hsp3k_termmeta`;
RENAME TABLE `wp_terms` TO `hsp3k_terms`;
RENAME TABLE `wp_term_relationships` TO `hsp3k_term_relationships`;
RENAME TABLE `wp_term_taxonomy` TO `hsp3k_term_taxonomy`;
RENAME TABLE `wp_usermeta` TO `hsp3k_usermeta`;
RENAME TABLE `wp_users` TO `hsp3k_users`;

테이블 변경 후 options 테이블 안의 참조도 변경해야 합니다.

UPDATE `hsp3k_options` SET option_name = 'hsp3k_user_roles' WHERE option_name = 'wp_user_roles';

마지막으로 wp-config.php의 $table_prefix도 hsp3k_으로 변경합니다.

주의사항

DB 접두사 변경은 중간에 실수하면 사이트가 완전히 깨집니다. 반드시:

• 변경 전 DB 전체 백업
• 테스트 환경에서 먼저 검증
• 웹호스팅 고객지원을 통해 진행하는 것도 방법

이미 운영 중인 사이트라면 접두사 변경보다 WAF 설정, 입력값 검증, 쿼리 파라미터 필터링 같은 방어 수단이 더 우선입니다. 접두사는 하나의 레이어일 뿐, 완벽한 방어가 아닙니다.