🇰🇷 한글 설명
code-projects Computer Laboratory System 1.0 버전에서 파일 업로드 취약점이 발견되었습니다. 직원이 개인 아바타 정보를 수정할 때 악성 PHP 백도어 파일을 업로드하여 웹쉘 도구를 통해 서버 권한을 탈취할 수 있습니다.
💡 쉬운 설명
사용자가 프로필 사진을 올리는 기능을 악용해 해커가 몰래 악성 프로그램을 서버에 심을 수 있는 문제입니다. 이를 통해 해커는 서버의 제어권을 완전히 가져갈 위험이 있습니다.
🇺🇸 원문 (English)
code-projects Computer Laboratory System 1.0 has a file upload vulnerability. Staff can upload malicious files by uploading PHP backdoor files when modifying personal avatar information and use web shell connection tools to obtain server permissions.
📍 영향받는 시스템
code-projects Computer Laboratory System 1.0
⚔️ 공격 벡터
아바타 정보 수정 시 악성 PHP 파일을 업로드하여 웹쉘 연결
🛡️ 대응 방법
파일 업로드 시 확장자 검증 로직을 강화하고, 업로드된 파일이 실행되지 않도록 디렉토리 권한을 제한해야 합니다.
🔧 검증 코드
최근 생성된 PHP 파일 목록을 확인하여 의심스러운 파일이 있는지 점검합니다.
find /var/www/html -name "*.php" -mtime -1