CVE-2025-70149 — SQL 인젝션 연구 프로젝트

개요

CVE-2025-70149의 익스플로잇 및 완화 방법을 시연하는 보안 연구 프로젝트로, CodeAstro Membership Management System v1.0의 치명적인 SQL 인젝션 취약점(CVSS 9.8/10)입니다.

CVE 세부 정보

항목	값
CVE ID	CVE-2025-70149
CVSS Score	9.8 CRITICAL
유형	SQL 인젝션 (CWE-89)
인증 필요	없음

실습 환경 구성

• 공격자: Kali Linux (192.168.63.5)
• 피해자: Windows 10 + XAMPP (192.168.63.6)
• 도구: sqlmap 1.10.3

결과

• 전체 데이터베이스 원격 덤프
• 9개의 회원 레코드 추출
• 관리자 자격 증명 획득
• MD5 해시 크랙

적용된 완화 조치

• PHP Prepared Statements
• 입력 검증
• 최소 권한 DB 사용자
• 오류 처리

MITRE ATT&CK

T1190, T1082, T1005, T1555, M1026, M1027

면책 조항

이 프로젝트는 학술 목적으로만 격리된 로컬 환경에서 수행되었습니다.