allow_url_include2 PHP 안전한 환경 (공개용 PHP 솔루션 사용시 주의사항) 최근 심각해 보이는 PHP 문제가 확인되었습니다. 특히, 공개용 PHP 솔루션(예, 제로보드, 그누보드 등)을 사용할 경우 매우 주의가 필요합니다. 꼭 공개용 솔루션만 문제는 아니지만 소스가 오픈되지 않은 경우 일반적으로 위험성이 낮습니다. 많은 취약점들이 공개용 솔루션에서 끝도 없이 발생하며 악성코드 유포의 주범이 되고 있습니다. 문제가 외부에 공개될 경우 홈페이지 변조를 통한 악성코드 감염이 추가 발생할 수 있습니다. 아래 사항은 이미 위험성이 알려진 부분이지만 적용되지 않은 경우 추가 위험성이 존재하여 다시한번 중요한 PHP 옵션에 대해 언급하며, 이를 반영할 경우 피해를 최소화 할 수 있습니다. 1. register_globals=Off 2. session.cookie_httponly=On (ph.. 2010. 12. 21. 안전한 PHP 프로그래밍 (첨부파일 다운 & include 함수) 1. 게시판 첨부파일 다운로드 개발시 주의점 국내 대형 IDC 운영사 사이트의 한 게시판에서 첨부파일 다운로드할 때, 내부 파일까지 다운로드할 수 있는 취약점이 있었다. 즉, /etc/ 이하의 파일이나 웹서버 설정 파일, 로그 등을 원하면 쉽게 받아볼 수 있는 취약점이었다. 이를테면 이런식이다. URL/download.html?path=/etc&file=resolv.conf&savename=resolv.txt (물론 위처럼 직접적으로 URL을 표시하지 않았지만, 눈치만 있으면 쉽게 알 수 있음) /etc/resolv.conf 를 받아서 PC에 resolv.txt 이름으로 저장하라는 예이다. '어서오세요. 저희는 개방적인 마인드로 서버의 모든 것을 네티즌에게 원하는대로 다 드립니다.'라고 얘기하는 꼴이다... 2009. 12. 8. 이전 1 다음