[ 제로보드 ] iframe 삽입 바이러스

12월 18일 이후로 제로보드 취약성으로 인한 파일 변조가 발생하고 있습니다. 

현재까지 발생한 경우를 보면 제로보드의 버전이 pl8 이하인 경우에 
발생하고 있습니다. 제로보드의 버전은 bbs 폴더의 lib.php 파일에서
확인하실 수 있습니다. 
_________________________________________________________________________

원인 :  제로보드 4 게시판의 취약성을 이용한 파일 변조

증상  :   1. bbs/icon 폴더에 group_qazwsxedc.jpg 파일과 visitLog.php 생성

            2. 계정내 확장자가 html, php  파일들에 frame src="악성코드 배포지 URL 삽입 (예: http://h.nexprice.com/css/x.htm)

                * 주로 bbs/폴더내의 파일들에 소스가 삽입됩니다.
                * 계정내 파일들에 iframe 삽입은 없을 수도 있습니다. 
           
            3. 제로보드 DB에 zetyx_group_table 생성되고 이 테이블의  header 또는
                header_url 에 위 2번과 동일한 악성코드 배포지 URL 생성.

2010년 12월 22일 RFI 취약점 보안 패치

1. bbs/icon 폴더에 생성된 group_qazwsxedc.jpg, visitLog.php 파일 삭제
2. html, php 파일에 삽입된 iframe 소스 삭제
3. 관리자 페이지를 통해 qazwsxedc 그룹 삭제
4. 제로보드설치폴더/_head.php 파일의 13번째 줄 소스 변경(공식 보안 패치 페이지 참고)
5. 제로보드설치폴더/skin/zero_vote/ask_password.php / error.php / login.php 파일의 2번째 줄 소스 각각 변경(공식 보안 패치 페이지 참고)

※ 제로보드 공식 보안 패치
http://www.xpressengine.com/zb4_security/19346851

제로보드4 pl9 버전에서 RFI (원격파일 인클루드) 취약점이 발견되었습니다.

장경칩님께서 제보해주신 내용입니다.

_head.php 파일과 skin/zero_vote/*.php 파일에 대해 아래 내용으로 코드 수정을 통한 패치를 권드립니다.

_head.php

[수정전]
_head.php
view source
print?
13.if(eregi("://",$_zb_path)||eregi("..",$_zb_path)||eregi("^/",$_zb_path)||eregi("data:;",$_zb_path)) $_zb_path ="./";


[수정후]
_head.php: 문자가 $_zb_path에 포함되지 않도록 수정
view source
print?
13.if(eregi("://",$_zb_path)||eregi("..",$_zb_path)||eregi("^/",$_zb_path)||eregi("data:;",$_zb_path)||eregi(":",$_zb_path)) $_zb_path ="./";


skin/zero_vote/ 디렉토리의 아래에 해당되는 .php 파일
- ask_password.php
- error.php
- login.php
[수정전]
./skin/zero_vote/*.php
view source
print?
2.if(eregi("://",$dir)||eregi("..",$dir)||eregi("^/",$dir)||eregi("data:;",$dir)) $dir ="./";

[수정후]
./skin/zero_vote/*.php
view source
print?
2.if(eregi("://",$dir)||eregi("..",$dir)||eregi("^/",$dir)||eregi("data:;",$dir)||eregi(":",$dir)) $dir ="./";


별도의 파일은 첨부하지 않고 위 내용으로의 수정을 권고 드립니다.

제로보드4는 매우 오래전에 개발된 코드이며 이로 인해 최근 인터넷 환경에 적합하지 않습니다.
당시에는 보안 취약점이 아닌 것들도 PHP의 버전 업그레이드나 환경의 변화로 새로운 취약점으로 생겨날 가능성도 높습니다.
가능하면 XpressEngine 으로의 업그레이드를 권유드립니다.