• 설명
• 조치
• 상세정보
• 링크

서버 측 코드 인젝션 (PHP)

설명

대상 응용 프로그램은 코드 인젝션에 취약하다는 것을 발견했습니다. 악의적인 사용자는 서버에서 실행되는 임의의 PHP 코드를 삽입할 수 있습니다. 이로 인해 저장된 비밀을 액세스하거나 계정을 탈취하거나 OS 명령을 실행하여 시스템 전체를 손상시킬 수 있습니다.

조치

사용자 입력을 직접 eval과 같은 문자열 데이터를 평가하는 함수에 전달해서는 안 됩니다. eval에 문자열 값을 전달하는 것에는 거의 이점이 없으므로, 가장 좋은 권장 사항은 현재 논리를 사용자 입력을 동적으로 평가하는 더 안전한 구현으로 교체하는 것입니다. 한 가지 대안은 array()를 사용하여 예상된 사용자 입력을 배열 키에 저장하고 해당 키를 참조하여 함수를 실행하는 것입니다.

$func_to_run = function()
{
    print('hello world');
};

$function_map = array();
$function_map["fn"] = $func_to_run; // 여기에 추가 입력을 함수 매핑으로 저장

$input = "fn";

// "fn"을 키로 찾기
if (array_key_exists($input, $function_map)) {
    // "fn" 배열 해시 값에 저장된 $func_to_run 실행
    $func = $function_map[$input];
    $func();
} else {
    print('유효하지 않은 입력');
}

상세정보

링크

• CWE
• OWASP