🇰🇷 한글 설명
Foojan WMS PHP Weblog 1.0의 index.php에서 story 파라미터에 대한 입력값 검증 부족으로 인한 SQL 인젝션 취약점입니다. 원격 공격자는 이 취약점을 악용하여 임의의 SQL 명령어를 실행하고 데이터베이스에 무단 접근할 수 있습니다. 이를 통해 민감한 데이터 도용, 변조, 삭제 등의 공격이 가능합니다.
💡 쉬운 설명
웹블로그 프로그램이 사용자가 입력한 데이터를 검사하지 않아서, 공격자가 악의적인 데이터베이스 명령어를 몰래 넣을 수 있는 취약점입니다. 이를 통해 개인정보를 빼앗거나 웹사이트 데이터를 훼손할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in Foojan WMS PHP Weblog 1.0 allows remote attackers to execute arbitrary SQL commands via the story parameter.
📍 영향받는 시스템
Foojan WMS PHP Weblog 1.0 이하 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 story 파라미터에 SQL 인젝션 페이로드 삽입
🛡️ 대응 방법
최신 버전으로 업그레이드, 입력값 검증 및 이스케이프 처리, Prepared Statements 사용
🔧 검증 코드
SQL 에러 메시지가 반환되면 입력값이 제대로 검증되지 않음을 의미하며, 취약점이 존재할 가능성이 높습니다.
echo "SELECT * FROM stories WHERE id='1' OR '1'='1" | curl -s 'http://target/index.php?story=1%20OR%201=1' | grep -E '(error|warning|mysql|sql|syntax)' && echo 'Vulnerable' || echo 'Not immediately vulnerable'