🇰🇷 한글 설명
Phpgurukul Beauty Parlour Management System v1.1의 admin/index.php 경로 내 username 파라미터에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 이를 통해 데이터베이스에 비정상적인 쿼리를 실행하여 관리자 권한을 탈취하거나 데이터를 유출할 수 있습니다.
💡 쉬운 설명
웹사이트 관리자 로그인 창의 아이디 입력 칸에 특수한 명령어를 입력하여 보안을 뚫는 공격입니다. 이를 통해 해커가 관리자처럼 행동하거나 중요한 정보를 몰래 가져갈 수 있습니다.
🇺🇸 원문 (English)
Phpgurukul Beauty Parlour Management System v1.1 is vulnerable to SQL Injection in admin/index.php via the the username parameter.
📍 영향받는 시스템
Phpgurukul Beauty Parlour Management System v1.1
⚔️ 공격 벡터
admin/index.php 페이지의 username 파라미터를 통한 SQL Injection 공격
🛡️ 대응 방법
사용자 입력값에 대한 Prepared Statements(매개변수화된 쿼리) 적용 및 입력값 검증 강화
🔧 검증 코드
명령어 실행 결과로 로그인 성공 메시지나 관리자 페이지 내용이 출력되면 취약한 상태입니다.
curl -s -X POST -d "username=' OR '1'='1" http://<target_ip>/admin/index.php | grep "Welcome"