code-projects Online Music Site 1.0 AdminViewSongs.php SQL 인젝션 취약점 (CVE-2026-0607) 보안 권고

// /Administrator/PHP/AdminViewSongs.php 수정 예시
// 기존 취약한 코드:
// $id = $_GET['ID'];
// $query = 'SELECT * FROM songs WHERE id = ' . $id;

// 안전하게 개선된 코드 (PDO Prepared Statement 적용):
$db = new PDO('mysql:host=localhost;dbname=music_db;charset=utf8', 'db_user', 'db_password');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

$id = $_GET['ID'];
$stmt = $db->prepare('SELECT * FROM songs WHERE id = :id');
$stmt->execute(['id' => $id]);
$result = $stmt->fetchAll();

# Nginx 설정 파일 (/etc/nginx/sites-available/default)
server {
    # ... 기존 설정 ...

    location /Administrator/ {
        # 특정 신뢰할 수 있는 관리자 IP 대역만 허용
        allow 192.168.1.0/24;
        allow 10.0.0.0/8;
        deny all;

        # PHP 파일 처리 설정 포함
        location ~ \.php$ {
            include snippets/fastcgi-php.conf;
            fastcgi_pass unix:/var/run/php/php7.4-fpm.sock;
        }
    }
}

#!/bin/bash
LOG_FILE='/var/log/nginx/access.log'

echo '[+] AdminViewSongs.php SQL Injection 시도 로그 분석 시작...'
grep -i 'AdminViewSongs.php' "$LOG_FILE" | grep -E -i '(union|select|concat|char|sleep|benchmark|order%20by|information_schema)'

if [ $? -eq 0 ]; then
    echo '[!] 경고: SQL 인젝션 공격 시도로 의심되는 로그가 발견되었습니다.'
else
    echo '[+] 특이사항이 발견되지 않았습니다.'
fi