폼으로 전송되어 내용에 HTML 이 적용되는 필드는 XSS 취약점에서 자유로울수 없습니다.
그것이 그누보드 이거나 또는 타 BBS, CMS 프로그램 이거나를 가리지 않습니다.
다만, 이런 취약점이 알려졌지만 빨리 패치가 되느냐? 되지 않는냐? 의 차이점만 있을수 있습니다.
XSS 취약점에서 자유로울수 있는 경우는 어떤 내용을 HTML 로 입력 받았더라도
strip_tags 함수를 사용하여 태그를 무력화 시키게 되면 비로소 XSS 취약점에서 자유로울수
있습니다.
우선 어떤 필드에 HTML 사용을 가능하게 하였다면 아래와 같은 조건들을 모두다(?) 막아 놓으셔야 합니다.
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet
또한, 위 조건들을 모두 막았다고 하더라도 아직 공개되지 않은 취약점이 있을수 있으므로
HTML 사용시의 XSS 취약점을 완벽하게 해결하는 방안은 없다고 봐야 합니다.
그래서 요즘은 태그를 사용하지 않지만 글자를 진하게 하는 등의 효과를 내기 위하여
헛점이 많은 <> 태그를 사용하는 대신에 ** 로 문자열을 감싸는 방식으로 처리를 하는 경우도
있습니다.
https://github.com/adam-p/markdown-here/wiki/Markdown-Cheatsheet
아직 그누보드는 <> 를 감싼 태그를 사용하여 글 작성을 하므로 XSS 취약점에서 자유로울수 없으며
<> 태그를 사용하는한 앞으로도 자유로울수 없을것 입니다.
그누보드의 보안패치가 자주 올라오는 이유를 이제 어느 정도는 공감하시겠죠?
그것이 그누보드 이거나 또는 타 BBS, CMS 프로그램 이거나를 가리지 않습니다.
다만, 이런 취약점이 알려졌지만 빨리 패치가 되느냐? 되지 않는냐? 의 차이점만 있을수 있습니다.
XSS 취약점에서 자유로울수 있는 경우는 어떤 내용을 HTML 로 입력 받았더라도
strip_tags 함수를 사용하여 태그를 무력화 시키게 되면 비로소 XSS 취약점에서 자유로울수
있습니다.
우선 어떤 필드에 HTML 사용을 가능하게 하였다면 아래와 같은 조건들을 모두다(?) 막아 놓으셔야 합니다.
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet
또한, 위 조건들을 모두 막았다고 하더라도 아직 공개되지 않은 취약점이 있을수 있으므로
HTML 사용시의 XSS 취약점을 완벽하게 해결하는 방안은 없다고 봐야 합니다.
그래서 요즘은 태그를 사용하지 않지만 글자를 진하게 하는 등의 효과를 내기 위하여
헛점이 많은 <> 태그를 사용하는 대신에 ** 로 문자열을 감싸는 방식으로 처리를 하는 경우도
있습니다.
https://github.com/adam-p/markdown-here/wiki/Markdown-Cheatsheet
아직 그누보드는 <> 를 감싼 태그를 사용하여 글 작성을 하므로 XSS 취약점에서 자유로울수 없으며
<> 태그를 사용하는한 앞으로도 자유로울수 없을것 입니다.
그누보드의 보안패치가 자주 올라오는 이유를 이제 어느 정도는 공감하시겠죠?
|
댓글을 작성하시려면 로그인이 필요합니다.
댓글 26개
그리고 보안 업데이트에 항상 감사드립니다.
공감^^
http://gnuboard.org/pages/g4svn/ 을 한번 이용해 보세요. ^^
너무 많이 쌓여서 ㅎㅎ
이제는 아예 그누5가 ㅠㅠ
http://gnuboard.org/pages/g5svn/
링크합니다.
창조과학부에서 좀 알아줘야~~~~~
상을 좀 주셔야....