🇰🇷 한글 설명
phpAuction의 정보 공개 취약점으로, phpinfo.php 파일에 직접 접근하여 PHP 설정 정보를 획득할 수 있습니다. 공격자는 서버 정보, 설치된 확장 모듈, 데이터베이스 정보 등 민감한 시스템 설정을 탈취할 수 있습니다.
💡 쉬운 설명
phpAuction 경매 프로그램의 숨겨진 설정 파일에 누구나 접근할 수 있어서 서버 정보가 노출되는 문제입니다. 공격자는 이 정보로 더 큰 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
phpAuction 3.2, and possibly 3.3.0 GPL Basic edition, allows remote attackers to obtain configuration information via a direct request to phpinfo.php, which calls the phpinfo function.
📍 영향받는 시스템
phpAuction 3.2, 3.3.0 GPL 기본 버전
⚔️ 공격 벡터
phpinfo.php 파일에 대한 직접 HTTP GET 요청
🛡️ 대응 방법
phpinfo.php 파일 삭제 또는 웹 서버 접근 제한 설정, 최신 버전으로 업그레이드
🔧 검증 코드
응답 코드 200은 파일이 접근 가능함(취약), 404는 파일 없음(안전), 403은 접근 거부(안전)를 의미합니다.
curl -s -o /dev/null -w '%{http_code}' http://target/phpinfo.php