🇰🇷 한글 설명
PHP용 Battle.net Clan Script 1.5.3 이하 버전의 members.php에 SQL 주입 취약점이 존재합니다. magic_quotes_gpc가 비활성화된 환경에서 members 액션의 showmember 매개변수를 통해 원격 공격자가 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
Battle.net Clan Script의 회원 정보 조회 기능에서 특정 입력값을 조작하면 데이터베이스에 악의적인 명령을 주입할 수 있습니다. 이를 통해 공격자는 민감한 정보를 탈취하거나 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in members.php in Battle.net Clan Script for PHP 1.5.3 and earlier, when magic_quotes_gpc is disabled, allows remote attackers to execute arbitrary SQL commands via the showmember parameter in a members action.
📍 영향받는 시스템
Battle.net Clan Script for PHP 버전 1.5.3 이하 (magic_quotes_gpc 비활성화 설정)
⚔️ 공격 벡터
HTTP 요청의 showmember 매개변수에 SQL 구문을 삽입하여 members.php 실행
🛡️ 대응 방법
스크립트를 최신 버전으로 업그레이드하거나 입력값 검증/이스케이프 처리 및 prepared statements 적용
🔧 검증 코드
결과가 출력되면 취약한 스크립트가 설치되어 있으며, 파일 버전 확인 후 1.5.3 이하면 패치 필요합니다.
find /var/www -name 'members.php' -type f 2>/dev/null | xargs grep -l 'showmember' 2>/dev/null | head -1