Remote file inclusion2 국내 공개 웹 게시판(제로보드) 취약점 주의 _______________________________________________________________________________ 원인 : 제로보드 4 게시판의 취약성을 이용한 파일 변조 증상 : 1. bbs/icon 폴더에 group_qazwsxedc.jpg 파일과 visitLog.php 생성 2. 계정내 확장자가 html, php 파일들에 frame src="악성코드 배포지 URL 삽입 (예: http://h.nexprice.com/css/x.htm) * 주로 bbs/폴더내의 파일들에 소스가 삽입됩니다. * 계정내 파일들에 iframe 삽입은 없을 수도 있습니다. 3. 제로보드 DB에 zetyx_group_table 생성되고 이 테이블의 header 또는 header_url 에 위 2번과.. 2010. 12. 22. 안전한 PHP 프로그래밍 (첨부파일 다운 & include 함수) 1. 게시판 첨부파일 다운로드 개발시 주의점 국내 대형 IDC 운영사 사이트의 한 게시판에서 첨부파일 다운로드할 때, 내부 파일까지 다운로드할 수 있는 취약점이 있었다. 즉, /etc/ 이하의 파일이나 웹서버 설정 파일, 로그 등을 원하면 쉽게 받아볼 수 있는 취약점이었다. 이를테면 이런식이다. URL/download.html?path=/etc&file=resolv.conf&savename=resolv.txt (물론 위처럼 직접적으로 URL을 표시하지 않았지만, 눈치만 있으면 쉽게 알 수 있음) /etc/resolv.conf 를 받아서 PC에 resolv.txt 이름으로 저장하라는 예이다. '어서오세요. 저희는 개방적인 마인드로 서버의 모든 것을 네티즌에게 원하는대로 다 드립니다.'라고 얘기하는 꼴이다... 2009. 12. 8. 이전 1 다음