[🥈 Silver 4] php.ini 한 줄로 SQL Injection 이 막히던 시절 — DreamHack [CodeEngn] Malware L04 풀이

문제: DreamHack — [CodeEngn] Malware L04 분류: Misc (악성코드 분석) 난이도: 🥈 Silver 4 FLAG: magic_quotes_gpc

이 시리즈는 보통 악성코드 소스 조각을 던져 주고 "무엇을 하는 함수인가"를 묻는다. L03은 10줄짜리 체크섬 루틴이었고 L05는 31줄짜리 base64 인코더였다.

L04 는 다르다. 코드가 한 줄도 없다.

# show_desc.sh
#!/bin/sh
# 드림핵 API 에서 이 문제의 제목·분류·설명만 뽑아 본다
python3 ~/Dev/Hacking_Project/_도구/dreamhack_auto/fetch_desc.py 371 | python3 -c '
import sys, json
d = json.load(sys.stdin)
print("제목    :", d["title"].strip())
print("분류    :", ", ".join(d["tags"]))
print("난이도  :", d["tier_display"])
print("푼 사람 :", d["cnt_solvers"], "명")
print()
print("[문제 설명]")
print(d["description"].strip())
print()
print("[힌트]", d["hints"] or "없음")
'

./show_desc.sh

드림핵 API 로 받은 CodeEngn Malware L04 메타 — 분류 misc, 난이도 Silver 4, 113명 해결, 설명은 APM 환경 사이트가 SQL Injection 악성코드 공격을 받는 중이니 PHP 설정파일에서 어떤 옵션을 설정해야 안전한지 묻는 두 줄이고 힌트는 없다

질문은 두 줄이다.

APM(Apache, PHP, MySQL) 환경의 사이트를 운영중인 L씨 현재 SQL Injection 악성코드의 공격을 받고 있다 PHP 설정파일에서 어떤 옵션을 설정해야 안전한가

ex) 형식 예시도 없고 힌트도 없다. 같은 시리즈의 다른 문제들처럼 답은 소문자 한 단어다.

문제 개요

항목	내용
문제명	[CodeEngn] Malware L04
난이도	🥈 Silver 4
분류	Misc (악성코드 분석)
제공 파일	없음 — 배포본이 비어 있다
묻는 것	APM 스택에서 SQL Injection 을 막는 php.ini 옵션 하나
핵심	`magic_quotes_gpc` — GET/POST/COOKIE 전체에 `addslashes()` 를 자동 적용

풀이 흐름은 짧다. 후보를 다섯 개로 좁히고, 그 중 SQL Injection 과 직접 관계된 것은 하나뿐이라는 걸 확인하고, 실제로 그런지 2010년경 APM 스택을 도커로 세워 대조한다.

🔬 배포본이 비어 있다

먼저 파일부터 받았다. 시리즈의 다른 문제들은 .txt 소스 조각이 들어 있었다.

# show_files.sh
#!/bin/sh
# 배포본에 무엇이 들어 있는지 — 이 문제는 파일이 없다
unzip -l challenge_371.zip
echo
echo "-- extracted/ --"
ls -la extracted/
file extracted/*

./show_files.sh

unzip -l 로 본 challenge_371.zip 내용 — no-public-files 라는 0바이트 파일 하나뿐이고 file 명령도 empty 라고 답한다. 분석할 코드가 아예 없는 서술형 문제다

no-public-files 0바이트 하나. 분석할 코드가 없으니 이 문제는 리버싱이 아니라 2000년대 후반 PHP 운영 상식을 묻는 문제다.

🧩 배경 — 왜 "설정파일"에서 SQL Injection 을 막나

지금 감각으로는 이상한 질문이다. SQL Injection 은 쿼리를 만드는 코드에서 막는 것이지 서버 설정에서 막을 일이 아니다. 프리페어드 스테이트먼트를 쓰면 끝이다.

그런데 2000년대 PHP 에는 그런 옵션이 실제로 있었다. magic_quotes_gpc 다.

이 옵션이 켜져 있으면 PHP 는 요청이 스크립트에 도달하기 전에 $_GET · $_POST · $_COOKIE(GPC — Get/Post/Cookie) 전체를 훑어 작은따옴표 · 큰따옴표 · 백슬래시 · NUL 앞에 백슬래시를 붙인다. addslashes() 를 자동으로 돌리는 셈이다.

애플리케이션 코드는 한 글자도 안 바뀐다. 바뀌는 건 php.ini 한 줄이다. 공유 호스팅에서 남이 짠 게시판 수백 개를 한꺼번에 "안전하게" 만들 수 있다는 게 당시의 논리였다.

이 옵션은 나중에 통째로 폐기된다. PHP 5.3.0 에서 deprecated 됐고, 5.4.0 에서는 아예 없어졌다. 제거된 쪽은 php-src 저장소의 PHP-5.4 브랜치 UPGRADING 파일에 그대로 적혀 있다.

curl -s https://raw.githubusercontent.com/php/php-src/PHP-5.4/UPGRADING | grep -n -i -E "magic.quotes"

php-src PHP-5.4 UPGRADING 을 curl 로 grep — 59~61행 제거 INI 목록에 magic_quotes_gpc·runtime·sybase, 448행 Removed functionality 에 Magic quotes 가 있다

그러니까 이 문제의 정답은 지금은 존재하지 않는 옵션이다. 문제가 만들어진 시점을 알아야 풀린다.

후보를 좁힌다

php.ini 에서 보안 관련으로 자주 거론되던 항목은 다섯 개쯤 된다. SQL Injection 과 직접 닿는 건 하나뿐이다.

옵션	무엇을 하나	SQL Injection 을 막나
`register_globals`	요청 변수를 전역 변수로 자동 등록	✗ 변수 오염(인증 우회·파일 포함)용. 쿼리 문자열과 무관
`safe_mode`	UID 기준으로 파일 접근 제한	✗ 파일 시스템 격리
`display_errors`	에러를 화면에 출력	△ 에러 기반 인젝션의 정보량을 줄일 뿐, 인젝션 자체는 그대로
`allow_url_include`	`http://` 경로를 `include` 허용	✗ RFI(원격 파일 포함)용
`magic_quotes_gpc`	GPC 입력에 `addslashes()` 자동 적용	○ 따옴표를 리터럴로 만든다

답은 magic_quotes_gpc 다. 여기까지는 표만 봐도 나온다.

문제는 그 다음이다. 이런 종류의 답은 "다들 그렇게 말하니까"로 끝나기 쉽다. 실제로 막히는지, 어디까지 막히는지 본 적이 없으면 절반만 아는 것이다.

🧪 랩을 세운다 — 왜 하필 Debian 6 인가

먼저 지금 PC 의 PHP 로 재현을 시도했다. 안 된다.

# modern_php.sh
#!/bin/sh
# 지금 PHP 에는 magic_quotes 가 남아 있지 않다는 것을 확인한다
php -v | head -1
echo
echo "-- ini_get('magic_quotes_gpc') --"
php -r 'var_dump(ini_get("magic_quotes_gpc"));'
echo
echo "-- php.ini 에 항목이 있는가 --"
php -i | grep -ci magic_quotes
echo "  (0 = 항목 자체가 없음)"
echo
echo "-- get_magic_quotes_gpc() 호출 --"
php -r 'get_magic_quotes_gpc();' 2>&1 | head -3

./modern_php.sh

PHP 8.4.11 에서 modern_php.sh 실행 결과 — ini_get 이 bool(false) 를 돌려주고 php -i 의 magic_quotes 매치가 0건이며 get_magic_quotes_gpc 호출은 Call to undefined function 으로 죽는다

ini_get() 은 false, php -i 에 항목 자체가 0건, 함수는 아예 없다. magic_quotes_gpc = On 을 써 넣어도 PHP 8 은 그런 지시자를 모르니 무시한다.

그래서 그 옵션이 실제로 동작하는 마지막 세대로 내려갔다. Debian 6 (squeeze) 다. Apache 2.2.16 / PHP 5.3.3 / MySQL 5.1 — 문제가 상정하는 APM 스택 그 자체다.

# lab/Dockerfile
# APM(Apache + PHP + MySQL) 재현 랩 — CodeEngn Malware L04
# magic_quotes_gpc 는 PHP 5.3 에서 deprecated, 5.4 에서 제거됐다.
# 그래서 그 옵션이 "실제로 동작하는" 마지막 세대인 Debian 6 (squeeze) 를 쓴다.
#   Apache 2.2.16 / PHP 5.3.3 / MySQL 5.1.73
FROM debian/eol:squeeze
 
# 서비스가 빌드 중에 뜨지 않도록 (도커에는 init 이 없다)
RUN printf '#!/bin/sh\nexit 101\n' > /usr/sbin/policy-rc.d && chmod +x /usr/sbin/policy-rc.d
 
RUN apt-get -o Acquire::Check-Valid-Until=false update \
 && DEBIAN_FRONTEND=noninteractive apt-get install -y --force-yes \
      apache2 libapache2-mod-php5 php5-cli php5-mysql mysql-server \
 && rm -rf /var/lib/apt/lists/*
 
COPY www/ /var/www/
COPY init.sql /root/init.sql
COPY start.sh /root/start.sh
RUN chmod +x /root/start.sh
 
EXPOSE 80
CMD ["/root/start.sh"]

Acquire::Check-Valid-Until=false 가 필요한 이유는 squeeze 저장소의 Release 파일이 이미 오래전에 만료됐기 때문이다. policy-rc.d 는 빌드 중에 mysql-server 의 postinst 가 데몬을 띄우려다 실패하는 걸 막는다.

컨테이너가 뜰 때 MySQL 데이터 디렉토리를 만들고 스키마를 넣은 뒤 아파치를 포그라운드로 잡는다.

# lab/start.sh
#!/bin/sh
set -e
[ -d /var/lib/mysql/mysql ] || mysql_install_db --user=mysql >/dev/null 2>&1
/usr/bin/mysqld_safe >/var/log/mysqld_safe.log 2>&1 &
for i in $(seq 1 60); do mysqladmin ping >/dev/null 2>&1 && break; sleep 1; done
mysql < /root/init.sql
. /etc/apache2/envvars
exec /usr/sbin/apache2 -D FOREGROUND

스키마는 그 시절 회원 테이블 그대로다. 평문 비밀번호까지 포함해서.

-- lab/init.sql
CREATE DATABASE IF NOT EXISTS shop DEFAULT CHARACTER SET utf8;
USE shop;
DROP TABLE IF EXISTS members;
CREATE TABLE members (
  idx      INT AUTO_INCREMENT PRIMARY KEY,
  userid   VARCHAR(32)  NOT NULL,
  userpass VARCHAR(64)  NOT NULL,
  email    VARCHAR(64)  NOT NULL,
  is_admin TINYINT(1)   NOT NULL DEFAULT 0
) ENGINE=InnoDB;
INSERT INTO members (userid, userpass, email, is_admin) VALUES
  ('admin',  'S3cr3t-4dm1n-p4ss', 'admin@l-shop.example', 1),
  ('guest',  'guest',             'guest@l-shop.example', 0),
  ('dizo',   'hunter2',           'dizo@l-shop.example',  0);

# lab/up.sh
#!/usr/bin/env bash
# APM 랩을 띄우고 준비될 때까지 기다린 뒤 PHP/아파치 버전을 확인한다.
set -eu
docker rm -f l04-apm >/dev/null 2>&1 || true
docker run -d --name l04-apm -p 127.0.0.1:8080:80 l04-apm
for i in $(seq 1 90); do curl -sf -m 3 http://127.0.0.1:8080/env.php >/dev/null 2>&1 && break; sleep 1; done
docker exec l04-apm apache2 -v | head -1
curl -s http://127.0.0.1:8080/env.php | head -2

./lab/up.sh

lab/up.sh 실행 — docker run 이 컨테이너 ID 를 찍고 Apache/2.2.16 (Debian) 과 PHP 5.3.3-7+squeeze29 / apache2handler 가 확인된다. php.ini 경로는 /etc/php5/apache2/php.ini

Apache 2.2.16, PHP 5.3.3. 문제가 말하는 APM 이다.

php.ini 의 관련 항목들이 실제로 어떤 값인지 컨테이너 안에서 직접 본다.

docker exec l04-apm grep -n "^magic_quotes\|^register_globals\|^safe_mode =\|^display_errors\|^allow_url_include" /etc/php5/apache2/php.ini

컨테이너 안 php.ini 를 grep 한 결과 — 747행 magic_quotes_gpc = Off, 694행 register_globals = Off, 338행 safe_mode = Off 로 후보 항목이 전부 실재한다

747행에 magic_quotes_gpc = Off. 우리가 만질 줄은 이 한 줄이다.

💣 취약한 페이지 — 2008년식 PHP 코드

랩에 올린 페이지는 네 개다. 전부 그 시절 게시판 코드에서 흔히 보던 모양으로 썼다. 입력을 따옴표 안에 그대로 이어 붙이고, 이스케이프도 프리페어드 스테이트먼트도 없다.

<?php
// lab/www/login.php
// L 씨의 쇼핑몰 — 2008년경 APM 사이트에서 흔하던 로그인 처리.
// 입력을 그대로 따옴표 안에 이어 붙인다. 이스케이프도, 프리페어드 스테이트먼트도 없다.
$conn = mysql_connect("localhost", "root", "");
mysql_select_db("shop", $conn);
 
$userid   = $_GET['userid'];
$userpass = $_GET['userpass'];
 
$sql = "SELECT idx, userid, email, is_admin FROM members "
     . "WHERE userid='$userid' AND userpass='$userpass'";
 
echo "magic_quotes_gpc = " . (get_magic_quotes_gpc() ? "On" : "Off") . "\n";
echo "SQL: $sql\n";
 
$res = mysql_query($sql, $conn);
if (!$res) { echo "MySQL error: " . mysql_error($conn) . "\n"; exit; }
 
$row = mysql_fetch_assoc($res);
if ($row) {
    echo "LOGIN OK  -> idx={$row['idx']} userid={$row['userid']} "
       . "email={$row['email']} is_admin={$row['is_admin']}\n";
} else {
    echo "LOGIN FAILED\n";
}
?>

페이지가 완성된 쿼리를 그대로 출력하게 해 뒀다. 옵션을 켰을 때 문자열이 어떻게 달라지는지가 이 문제의 전부라서, 그걸 화면에서 바로 보는 게 낫다.

검색 페이지는 결과를 그대로 뿌리므로 UNION SELECT 로 다른 컬럼을 끌어올 수 있다.

<?php
// lab/www/search.php
// 상품 검색 — 결과가 화면에 그대로 나오므로 UNION SELECT 로 다른 테이블을 끌어올 수 있다.
$conn = mysql_connect("localhost", "root", "");
mysql_select_db("shop", $conn);
 
$q = $_GET['q'];
$sql = "SELECT userid, email FROM members WHERE userid LIKE '%$q%'";
 
echo "magic_quotes_gpc = " . (get_magic_quotes_gpc() ? "On" : "Off") . "\n";
echo "SQL: $sql\n";
 
$res = mysql_query($sql, $conn);
if (!$res) { echo "MySQL error: " . mysql_error($conn) . "\n"; exit; }
while ($row = mysql_fetch_assoc($res)) {
    echo "  {$row['userid']} | {$row['email']}\n";
}
?>

세 번째는 나중에 쓸 반례다. 파라미터가 숫자라 따옴표로 감싸지 않았다.

<?php
// lab/www/idlookup.php
// 숫자 파라미터 — 따옴표로 감싸지 않았다. magic_quotes_gpc 가 On 이어도 여기는 못 막는다.
$conn = mysql_connect("localhost", "root", "");
mysql_select_db("shop", $conn);
 
$idx = $_GET['idx'];
$sql = "SELECT userid, email, is_admin FROM members WHERE idx=$idx";
 
echo "magic_quotes_gpc = " . (get_magic_quotes_gpc() ? "On" : "Off") . "\n";
echo "SQL: $sql\n";
 
$res = mysql_query($sql, $conn);
if (!$res) { echo "MySQL error: " . mysql_error($conn) . "\n"; exit; }
while ($row = mysql_fetch_assoc($res)) {
    echo "  {$row['userid']} | {$row['email']} | admin={$row['is_admin']}\n";
}
?>

마지막은 설정 상태를 확인하는 페이지다.

<?php
// lab/www/env.php
// php.ini 에서 실제로 무엇이 켜져 있는지 확인하는 페이지.
// ini_get() 은 꺼진 불리언을 빈 문자열로 돌려주므로 On/Off 로 풀어서 같이 찍는다.
$keys = array('magic_quotes_gpc', 'magic_quotes_runtime', 'register_globals',
              'safe_mode', 'display_errors', 'allow_url_include');
echo "PHP " . phpversion() . " / " . php_sapi_name() . "\n";
echo "php.ini = " . php_ini_loaded_file() . "\n\n";
foreach ($keys as $k) {
    $v = ini_get($k);
    printf("%-22s = %-3s  (ini_get 원값: %s)\n", $k, ($v ? "On" : "Off"), var_export($v, true));
}
echo "\nget_magic_quotes_gpc() = " . var_export(get_magic_quotes_gpc(), true) . "\n";
if (isset($_GET['x'])) {
    echo "\n\$_GET['x'] = " . $_GET['x'] . "\n";
    echo "hex        = " . bin2hex($_GET['x']) . "\n";
}
?>

▶🐛 삽질 1 — ini_get 이 Off 를 빈 문자열로 돌려준다

처음 env.php 는 var_export(ini_get($k), true) 만 찍었다. 그랬더니 여섯 항목이 전부 '' 로 나왔다.

magic_quotes_gpc       = ''
register_globals       = ''
safe_mode              = ''

"설정 파일을 못 읽었나" 싶어 php_ini_loaded_file() 을 다시 봤는데 경로는 멀쩡했다. ini_get() 은 꺼진 불리언 지시자를 빈 문자열로 돌려주는 게 정상 동작이다. 켜면 '1' 이 된다.

빈 문자열과 "항목이 없음"이 화면에서 똑같이 보이니 판단이 안 선다. 그래서 On/Off 로 풀어 쓰고 원값을 괄호로 같이 찍게 고쳤다. 뒤에서 PHP 8 과 대조할 때 이 구분이 필요해진다 — PHP 8 은 false 를 돌려주고 5.3 은 '' 를 돌려준다. 둘 다 "거짓"이지만 뜻이 다르다.

🎯 Off — 인젝션 세 개가 다 통한다

공격은 셋이다. 따옴표로 조건을 닫는 인증 우회, UNION 으로 컬럼을 바꿔치는 검색 인젝션, 그리고 따옴표가 애초에 없는 숫자 파라미터.

# lab/attack.sh
#!/usr/bin/env bash
# APM 랩에 SQL Injection 3종을 던진다. 화면에는 php 가 실제로 만든 쿼리가 같이 찍힌다.
#   (1) 따옴표로 조건을 닫고 나머지를 주석 처리하는 인증 우회
#   (2) UNION SELECT 로 다른 컬럼을 끌어오는 검색 인젝션
#   (3) 따옴표가 애초에 없는 숫자 파라미터
set -u
B=http://127.0.0.1:8080
 
echo "### (0) 현재 php.ini 상태"
curl -s "$B/env.php" | sed -n '1,9p'
 
echo
echo "### (1) 로그인 우회 — userid=admin'-- "
curl -s -G "$B/login.php" --data-urlencode "userid=admin'-- " --data-urlencode "userpass=x"
 
echo
echo "### (2) UNION — q=' UNION SELECT userid,userpass FROM members#"
curl -s -G "$B/search.php" --data-urlencode "q=' UNION SELECT userid,userpass FROM members#"
 
echo
echo "### (3) 숫자 파라미터 — idx=1 OR 1=1"
curl -s -G "$B/idlookup.php" --data-urlencode "idx=1 OR 1=1"

./lab/attack.sh

magic_quotes_gpc = Off 인 상태에서 attack.sh 실행 결과 — 로그인 우회가 LOGIN OK is_admin=1 로 통과하고, UNION 인젝션이 admin 의 평문 비밀번호 S3cr3t-4dm1n-p4ss 를 포함해 세 계정을 다 뱉고, 숫자 파라미터도 전체 행을 반환한다

셋 다 통한다.

로그인 쪽은 userid=admin'-- 이 만들어 낸 쿼리가 이렇게 된다.

SELECT idx, userid, email, is_admin FROM members WHERE userid='admin'-- ' AND userpass='x'

우리가 넣은 따옴표가 userid 문자열을 닫아 버렸고, 그 뒤 -- 부터는 주석이라 비밀번호 조건이 통째로 사라진다. is_admin=1 인 관리자 행이 그대로 나온다.

검색 쪽은 더 나쁘다.

SELECT userid, email FROM members WHERE userid LIKE '%' UNION SELECT userid,userpass FROM members#%'

두 번째 컬럼 자리에 email 대신 userpass 를 끼워 넣었으니 평문 비밀번호가 화면에 찍힌다. S3cr3t-4dm1n-p4ss · hunter2 가 그대로 보인다.

✅ On — php.ini 한 줄

이제 옵션만 켠다. 애플리케이션 코드는 건드리지 않는다.

# lab/mq.sh
#!/usr/bin/env bash
# php.ini 의 magic_quotes_gpc 를 On/Off 로 바꾸고 아파치를 다시 읽힌다.
# 컨테이너 이름은 l04-apm, php.ini 는 /etc/php5/apache2/php.ini 다.
set -eu
VAL="$1"                                  # on | off
docker exec l04-apm sed -i \
  "s/^magic_quotes_gpc = .*/magic_quotes_gpc = ${VAL}/" /etc/php5/apache2/php.ini
docker exec l04-apm grep -n '^magic_quotes_gpc' /etc/php5/apache2/php.ini
docker exec l04-apm /usr/sbin/apache2ctl graceful
sleep 1

./lab/mq.sh on

lab/mq.sh on 실행 — php.ini 747행이 magic_quotes_gpc = on 으로 바뀌고 apache2ctl graceful 이 설정을 다시 읽는다

같은 공격을 다시 던진다.

./lab/attack.sh

magic_quotes_gpc = On 인 상태에서 attack.sh 재실행 — 쿼리에 admin'-- 처럼 백슬래시가 박혀 로그인이 LOGIN FAILED 로 떨어지고 UNION 은 결과가 0행이지만, 마지막 숫자 파라미터 idx=1 OR 1=1 만은 여전히 세 계정을 다 반환한다

쿼리가 이렇게 바뀌었다.

SELECT idx, userid, email, is_admin FROM members WHERE userid='admin\'-- ' AND userpass='x'

따옴표 앞에 백슬래시가 붙었다. MySQL 은 이걸 문자열을 닫는 기호가 아니라 따옴표라는 글자 자체로 읽는다. 그래서 조건이 안 끊기고 userid 가 admin'-- 인 회원을 찾다가 없으니 LOGIN FAILED. UNION 쪽도 같은 이유로 0행이다.

magic_quotes_gpc 가 요청 처리 경로의 어디에 끼어드는지 — 브라우저에서 Apache mod_php 를 지나 애플리케이션 코드로 가기 전에 SAPI 가 GPC 전체에 addslashes 를 걸고, Off 면 따옴표가 조건을 끊고 On 이면 리터럴이 되어 0행이 되는 두 갈래를 나란히 보여 준다

애플리케이션은 그대로다. 바뀐 건 설정 한 줄이다. 문제가 "설정파일에서 무엇을 설정해야 안전한가"라고 묻는 이유가 여기 있다.

🕳️ 그런데 이건 완전한 방어가 아니다

같은 화면 마지막 줄을 다시 보자. magic_quotes_gpc = On 인데도 세 번째 공격은 통과했다.

SELECT userid, email, is_admin FROM members WHERE idx=1 OR 1=1

addslashes() 는 따옴표·백슬래시·NUL 에만 백슬래시를 붙인다. 1 OR 1=1 에는 그런 글자가 하나도 없다. 애초에 파라미터를 따옴표로 감싸지 않았으니 막을 대상 자체가 없다.

두 번째 구멍은 더 고약하다. 연결 문자셋이 멀티바이트면 백슬래시가 통째로 먹힌다.

<?php
// lab/www/gbk.php
// 연결 문자셋이 멀티바이트(GBK)일 때 — addslashes 가 넣은 백슬래시가 따옴표를 못 지킨다.
// 0xbf + 0x5c 는 GBK 에서 글자 한 개로 먹히므로 백슬래시가 사라지고 따옴표만 남는다.
$conn = mysql_connect("localhost", "root", "");
mysql_select_db("shop", $conn);
mysql_query("SET NAMES gbk", $conn);        // 2000년대 한중일 사이트에서 흔했던 설정
 
$userid = $_GET['userid'];
$sql = "SELECT idx, userid, email, is_admin FROM members WHERE userid='$userid' AND userpass='x'";
 
// mysql_client_encoding() 은 SET NAMES 를 반영하지 않으므로 서버에 직접 물어본다
$v = mysql_fetch_assoc(mysql_query("SHOW VARIABLES LIKE 'character_set_client'", $conn));
 
echo "magic_quotes_gpc     = " . (get_magic_quotes_gpc() ? "On" : "Off") . "\n";
echo "character_set_client = " . $v['Value'] . "\n";
echo "userid hex           = " . bin2hex($userid) . "   (bf 5c 27 : 5c 가 bf 에 먹힌다)\n";
echo "SQL: $sql\n";
 
$res = mysql_query($sql, $conn);
if (!$res) { echo "MySQL error: " . mysql_error($conn) . "\n"; exit; }
$row = mysql_fetch_assoc($res);
if ($row) {
    echo "LOGIN OK  -> idx={$row['idx']} userid={$row['userid']} is_admin={$row['is_admin']}\n";
} else {
    echo "LOGIN FAILED\n";
}
?>

0xbf 를 따옴표 앞에 붙여 보낸다. addslashes() 는 0xbf 0x5c 0x27 을 만든다. 그런데 GBK 에서 0xbf 0x5c 는 글자 한 개다. 백슬래시가 그 글자에 흡수되고 따옴표만 남는다.

curl -s "http://127.0.0.1:8080/gbk.php?userid=%bf%27%20OR%201%3D1%23"

magic_quotes_gpc = On 이고 character_set_client 가 gbk 인 상태에서 0xbf 27 을 보낸 결과 — userid hex 가 bf5c27 로 백슬래시가 붙었는데도 LOGIN OK idx=1 userid=admin is_admin=1 로 관리자 인증이 뚫린다

magic_quotes_gpc = On 인데 LOGIN OK, is_admin=1. 백슬래시는 분명히 붙었는데(bf5c27) 아무 소용이 없다.

▶🐛 삽질 2 — mysql_client_encoding() 을 믿었다가 판단을 그르칠 뻔했다

처음 gbk.php 는 mysql_client_encoding($conn) 으로 문자셋을 찍었다. 결과는 latin1 이었다.

magic_quotes_gpc = On
charset          = latin1

SET NAMES gbk 를 분명히 보냈는데 latin1 이라니, 우회가 성공한 게 다른 이유 때문인가 싶었다.

mysql_client_encoding() 은 클라이언트 라이브러리가 들고 있는 값을 돌려주는데, SET NAMES 는 서버 쪽 세션 변수만 바꾸므로 그 값이 갱신되지 않는다. 서버에 직접 물어봐야 한다.

SHOW VARIABLES LIKE 'character_set_client'

이렇게 바꾸니 gbk 가 나왔다. 우회가 통한 이유가 맞았다. 진단 함수 하나를 잘못 골랐다고 "현상 해석"까지 틀어질 뻔했다.

두 반례를 합치면 결론이 이렇게 된다. magic_quotes_gpc 는 당시 기준으로 맞는 답이고 실제로 따옴표 기반 인젝션을 막지만, 숫자 파라미터와 멀티바이트 문자셋 앞에서는 그냥 뚫린다. PHP 가 이 옵션을 5.4 에서 없앤 이유이기도 하다 — 켜 놓으면 안전하다는 착각을 만든다.

🚀 한 방 재현

랩 구성부터 대조까지 스크립트 하나로 묶었다. 이미지를 만들고, 컨테이너를 띄우고, Off/On 각각으로 공격을 던지고, 예상과 다르면 그 자리에서 실패로 끝난다.

# reproduce.sh
#!/usr/bin/env bash
# [CodeEngn] Malware L04 — 한 방 재현.
# APM(Apache 2.2 + PHP 5.3.3 + MySQL 5.1) 랩을 세우고 magic_quotes_gpc Off/On 을 대조해
# "php.ini 에서 이 옵션을 켜면 SQL Injection 이 막힌다"를 실제로 확인한 뒤 답을 출력한다.
set -eu
cd "$(dirname "$(readlink -f "$0")")"
EXPECT='magic_quotes_gpc'
B=http://127.0.0.1:8080
 
docker image inspect l04-apm >/dev/null 2>&1 || docker build -t l04-apm ./lab
docker rm -f l04-apm >/dev/null 2>&1 || true
docker run -d --name l04-apm -p 127.0.0.1:8080:80 l04-apm >/dev/null
for i in $(seq 1 90); do curl -sf -m 3 "$B/env.php" >/dev/null 2>&1 && break; sleep 1; done
 
fail() { echo "❌ FAIL — $1"; docker rm -f l04-apm >/dev/null 2>&1 || true; exit 1; }
 
./lab/mq.sh off >/dev/null
OFF_LOGIN=$(curl -s -G "$B/login.php" --data-urlencode "userid=admin'-- " --data-urlencode "userpass=x")
OFF_UNION=$(curl -s -G "$B/search.php" --data-urlencode "q=' UNION SELECT userid,userpass FROM members#")
echo "$OFF_LOGIN" | grep -q 'LOGIN OK'            || fail "Off 인데 로그인 우회가 안 됐다"
echo "$OFF_UNION" | grep -q 'S3cr3t-4dm1n-p4ss'   || fail "Off 인데 UNION 으로 비밀번호가 안 새어 나왔다"
 
./lab/mq.sh on >/dev/null
ON_LOGIN=$(curl -s -G "$B/login.php" --data-urlencode "userid=admin'-- " --data-urlencode "userpass=x")
ON_UNION=$(curl -s -G "$B/search.php" --data-urlencode "q=' UNION SELECT userid,userpass FROM members#")
ON_NUM=$(curl -s -G "$B/idlookup.php" --data-urlencode "idx=1 OR 1=1")
ON_GBK=$(curl -s "$B/gbk.php?userid=%bf%27%20OR%201%3D1%23")
echo "$ON_LOGIN" | grep -q 'LOGIN FAILED'         || fail "On 인데 로그인 우회가 여전히 통한다"
if echo "$ON_UNION" | grep -q 'S3cr3t-4dm1n-p4ss'; then fail "On 인데 UNION 이 여전히 통한다"; fi
echo "$ON_NUM"   | grep -q 'admin=1'              || fail "숫자 파라미터 반례가 재현되지 않았다"
echo "$ON_GBK"   | grep -q 'LOGIN OK'             || fail "GBK 우회 반례가 재현되지 않았다"
 
docker rm -f l04-apm >/dev/null 2>&1 || true
 
echo "Off → 로그인 우회 성공 · UNION 으로 평문 비밀번호 유출"
echo "On  → 로그인 우회 차단 · UNION 차단"
echo "On  → 그래도 숫자 파라미터(idx=1 OR 1=1)와 GBK(0xbf27) 는 통과 : 완전한 방어가 아니다"
echo
echo "✅ PASS  $EXPECT"

./reproduce.sh

reproduce.sh 한 방 실행 — 랩을 세우고 Off/On 대조를 끝낸 뒤 로그인 우회와 UNION 이 차단되고 숫자 파라미터와 GBK 만 통과한다는 요약을 찍고 PASS magic_quotes_gpc 로 끝난다

▶🐛 삽질 3 — 이미지에 안 구운 페이지 때문에 재현이 깨졌다

gbk.php 는 랩을 이미 띄운 뒤에 떠올라서 docker cp 로 밀어 넣었다. 그 상태로는 잘 돌았다.

그런데 reproduce.sh 는 컨테이너를 지우고 이미지에서 새로 만든다. 새 컨테이너에는 그 파일이 없다.

❌ FAIL — GBK 우회 반례가 재현되지 않았다

수동으로 확인한 것과 스크립트로 재현되는 것은 다르다. docker build 를 다시 돌려 www/ 를 이미지에 굽고 나서야 통과했다. "내 화면에서는 되는데"가 백업 폴더에서는 안 되는 전형적인 경로다.

📝 결론

답은 magic_quotes_gpc 다.

APM 스택에서 애플리케이션 코드를 안 고치고 SQL Injection 을 줄일 수 있는 php.ini 옵션은 이것 하나다. 나머지 후보들은 각각 변수 오염(register_globals) · 파일 접근 제한(safe_mode) · 정보 노출(display_errors) · 원격 파일 포함(allow_url_include) 을 다루지, 쿼리 문자열에는 손대지 않는다.

답이 맞다는 것과 그 방어가 충분하다는 것은 다르다.

랩에서 확인한 대로 따옴표 기반 인젝션 두 개는 실제로 막혔지만, 숫자 파라미터와 GBK 문자셋 우회는 옵션을 켠 상태에서도 그대로 통했다. addslashes() 는 글자 네 종류만 보는데 인젝션은 그 네 종류를 안 써도 성립한다.

옵션은 5.4 에서 사라졌다.

전역 설정으로 입력을 조작하면 애플리케이션은 자기 데이터가 이스케이프된 상태인지 아닌지를 알 수 없다. 그래서 그 시절 코드에는 get_magic_quotes_gpc() 를 물어보고 stripslashes() 를 되돌리는 방어 코드가 널려 있었고, 그 코드가 또 새로운 버그를 만들었다. PHP 는 5.3 에서 deprecated, 5.4 에서 제거로 정리했다.

지금 같은 상황이라면 무엇을 하나.

쿼리는 프리페어드 스테이트먼트로 만든다(PDO 의 prepare/execute, mysqli 의 바인딩). 값이 문자열이든 숫자든 파라미터로 넘어가므로 위의 두 반례가 둘 다 성립하지 않는다. 문자셋은 연결 수립 시 PDO DSN 이나 mysqli_set_charset() 으로 지정한다 — SET NAMES 로만 바꾸면 클라이언트 라이브러리가 모른 채로 남아 이스케이프 함수가 잘못된 규칙을 쓴다. 이 문제의 GBK 반례가 바로 그 상황이다.