'파일명'에 해당되는 글 2건

  1. 2012.03.16 그누보드 신규 취약점 발견...보안패치 공지
  2. 2010.01.06 한글 파일이름 깨짐현상 해결책
2012.03.16 18:30

그누보드 신규 취약점 발견...보안패치 공지

트리니티소프트, 로그인 사용자 공격...주의 당부

[보안뉴스 김태형] 웹 애플리케이션 보안 전문 기업인 트리니티소프트(대표 김진수, www.trinitysoft.co.kr)는 제로보드와 더불어 국내에서 가장 많이 사용하는 공개 게시판 프로그램인 ‘그누보드(gnuboard)’에서 신규 취약점을 발견하여 사용자들의 주의를 당부했다.



이번에 발견된 ‘Cross-Site-Scripting’ 취약점은 웹 서버 자체를 공격하기 보다는 웹 사이트에 로그인 한 사용자를 공격하는 기법이다. 공격자는 특수하게 조작된 파일을 게시판에 업로드 후 관리자가 열어보도록 함으로써 홈페이지 위·변조 또는 권한획득까지 가능하다.


‘특수하게 조작된 파일’은 게시판에 파일을 첨부할 때 공격코드를 파일명으로 저장하면 관리자가 클릭함과 동시에 웹브라우저 상에서 공격코드가 실행되게 되는데 이때 ‘특정 브라우저의 자체차단 기능인 Cross-Site-Scripting 방어’ 또한 간단하게 우회할 수 있다.


이에 트리니티소프트는 “파일명이 터무니없이 길거나 16진수 혹은 스크립트 명령어 형식이라면 이러한 취약점공격을 의심해 보아야 한다”며 “그누보드 측에 관련 정보를 제공하였으며 현재 자사 고객사 및 협력사에는 그누보드의 패치코드를 배포하였다”고 전했다.


정보를 제공받은 ‘그누보드’측은 12일 홈페이지(http://sir.co.kr/) 공지사항을 통해 이들 보안 취약점에 대한 위험성을 설명하고 최신 보안패치를 권고했다.


*MS Explorer의 Cross-Site-Scripting 방어란? 웹 사이트에 삽입되어 있는 악성 스크립트 실행을 차단하여 XSS 등의 위험으로부터 사용자를 보호하는 기능을 말한다.

[김태형 기자(boan@boannews.com)]


출처 : 보안뉴스 


Trackback 0 Comment 0
2010.01.06 19:51

한글 파일이름 깨짐현상 해결책

디렉토리나 파일 이름에 한글이 포함된 경우 다른 서버로 데이터를 이전하기 위해서 보통 압축을 사용한다.

이 경우 두 서버가 문자셋(Character Set)이 서로 상이한 경우 한글이름이 깨지는 현상이 발생한다.

윈도우 압축 파일을 리눅스에서 사용할 경우에도 동일한 현상이 발생한다.

- 한글 파일을 압축 및 여러 수단을 이동 후

# convmv -f cp949 -t utf8 --notest -r .
# convmv -f utf-8 -t euc-kr --notest 한글.txt

이미 UTF8 라고 나올때는, --nosmart 옵션을 사용하면 된다. (convmv 1.09 기준)

tar 압축을 사용할 경우 별도 옵션이 없다.

그러나 zip 압축을 사용하는 방법이 있다.

zip 에는 문자셋을 지정할 수 있는 옵션이 있다. (단, 압축할때는 불가능하고 압축을 풀때만 가능)

# zip 한글.zip 한글.txt

# unzip -O cp949 한글.zip

Trackback 0 Comment 0