🇰🇷 한글 설명
SoftComplex PHP Image Gallery의 index.php 파일에서 ctg 파라미터를 통해 SQL injection 취약점이 발견되었습니다. 원격 공격자는 검증되지 않은 입력값을 통해 임의의 SQL 명령을 실행할 수 있으며, 이를 통해 데이터베이스 조작, 정보 유출 등의 피해가 발생할 수 있습니다.
💡 쉬운 설명
이미지 갤러리 웹사이트의 주소창에 악의적인 SQL 명령을 포함시켜 보내면, 서버가 그대로 실행해버리는 문제입니다. 공격자는 이를 이용해 데이터베이스에 저장된 민감한 정보를 훔치거나 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in SoftComplex PHP Image Gallery allows remote attackers to execute arbitrary SQL commands via the ctg parameter.
📍 영향받는 시스템
SoftComplex PHP Image Gallery (버전 미명시, 2008년경 버전들)
⚔️ 공격 벡터
HTTP GET 요청의 ctg 파라미터에 SQL 페이로드 삽입 (예: index.php?ctg=' OR '1'='1)
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 입력값 검증 및 prepared statement 사용 등의 SQL injection 방어 기법 적용
🔧 검증 코드
대상 서버의 index.php에 ctg 파라미터를 포함한 요청을 보내서 SQL 에러 메시지가 노출되는지 확인합니다. 에러 메시지가 보이면 SQL injection 가능성이 높고, 반응이 없으면 수동으로 더 자세히 테스트해야 합니다.
curl -s 'http://target/index.php?ctg=test' | grep -i 'error\|warning\|sql' && echo 'Potentially vulnerable' || echo 'Check manually'