코덱스에 php2shell 점검 스킬을 설치해 내 사이트 PHP 버전 확인하는 법

오픈AI가 10월 21일 PHP 원격 코드 실행 결함(php2shell)을 공개하면서, 내 사이트가 영향을 받는지 확인하는 코덱스(Codex) 스킬 두 개를 깃허브 openai/php2shell-checker에 올렸다. URL만 아는 사이트는 phpcheck-url, 서버에 들어갈 수 있으면 phpcheck-server를 쓴다.

1. 코덱스에 두 스킬을 설치한다. 새 스킬이 보이지 않으면 코덱스를 다시 시작한다.

$skill-installer install both skills from https://github.com/openai/php2shell-checker

1. URL로 확인한다.

$phpcheck-url check https://example.com

1. 서버에 접근할 수 있다면 실제로 사이트를 돌리는 PHP를 확인한다. php -v 결과가 사이트의 PHP-FPM이나 아파치 설치와 같은지도 본다.

$phpcheck-server check the PHP version serving my site

1. 코덱스 없이 저장소를 받아 바로 돌려도 된다.

git clone https://github.com/openai/php2shell-checker
cd php2shell-checker
node phpcheck.js "https://example.com"
node phpcheck.js --local

결과는 OK(종료 코드 0), VULNERABLE(1), UNKNOWN(3) 셋이다. 점검기는 응답 헤더 X-Powered-By·Server나 php -v에 찍힌 버전만 본다. 헤더를 숨긴 사이트는 UNKNOWN이 나오고, 이 결과를 패치됐다는 뜻으로 읽으면 안 된다. 배포판 백포트는 버전 번호를 바꾸지 않을 수 있으니 OK가 나와도 PHP 공식 보안 릴리스와 맞춰 본다. 공격 시험(익스플로잇)은 돌리지 않는다.