🇰🇷 한글 설명
PHP Script Index의 search 파라미터에서 발생하는 SQL 주입 취약점으로, 원격 공격자가 임의의 SQL 명령어를 실행할 수 있다. 입력값에 대한 부적절한 검증으로 인해 데이터베이스의 데이터 유출, 수정, 삭제 및 인증 우회 공격이 가능하다.
💡 쉬운 설명
웹사이트의 검색 기능이 사용자 입력을 제대로 확인하지 않아서, 특수한 문자를 입력하면 데이터베이스의 데이터를 조회하거나 수정할 수 있는 문제다. 공격자는 검색창에 악의적인 코드를 입력하여 민감한 정보에 접근할 수 있다.
🇺🇸 원문 (English)
SQL injection vulnerability in PHP Script Index allows remote attackers to execute arbitrary SQL commands via the search parameter. NOTE: the provenance of this information is unknown; the details are obtained solely from third party information.
📍 영향받는 시스템
PHP Script Index (정확한 버전 정보 미공개)
⚔️ 공격 벡터
search 파라미터에 SQL 주입 페이로드(예: ' OR '1'='1) 입력하여 쿼리 조작
🛡️ 대응 방법
입력값 검증 강화, 파라미터화된 쿼리(Prepared Statements) 사용, PHP Script Index 업데이트 또는 제거
🔧 검증 코드
위 명령어 실행 후 SQL 관련 에러나 메시지가 반환되면 취약점이 존재할 가능성이 높다.
curl -s 'http://target/search.php?search=1%27%20OR%20%271%27=%271' | grep -qi 'sql'