phpinfo()가 서버 정보 노출

위험도: 중간 CWE-200 OWASP A05:2021 Security Misconfiguration rule: phpinfo

왜 위험한가요

phpinfo()는 PHP 버전, 파일 경로, 모듈, 환경 변수를 모두 보여줍니다. 공격자가 공격 방법을 고르는 지도가 됩니다.

✕ 취약한 코드

// info.php
phpinfo();

✓ 안전한 코드

// Delete info.php from production.
// Check settings from the command line instead:
//   php -i | grep display_errors

운영 서버에서 접근 가능한 곳의 phpinfo()는 삭제하세요.

내 코드 검사하기

파일을 붙여넣으면 이 규칙에 걸리는 줄을 모두 찾아드립니다.