[긴급]PHP 원격 코드 실행 취약점 안내
이전
목록
다음
진

내 사이트의 컨텐츠를 iframe으로 뽀려가는놈 --;

진호군
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 · 2011-11-30 (수) 19:32:27 · 3427 · 12
제 사이트 컨텐츠를 아이프레임으로 지꺼인냥 특정부분만 열어서 쓰는인간이 있습니다

그쪽에 연락해봐도 묵묵부답이고
이거어떻게 해결법없을까요..
상위 페이지 주소받아서 다르면 체크할랬더니
도메인이 다르니 상위 부모페이지 주소도 못받아오고..
익스에선 사용권한 없다고 아예 null 값도 출력안해줍니다..

어떻게해야할까요
#개발자톡 #개발자
|

댓글 12개

진호군
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-11-30 (수) 19:58:03
if (top.frames.length!=0 || window!=top) window.open(location, "_top") ;

이렇게 막으면 되지만 제 사이트내에서 저도 iframe으로 제 사이트를 불러오는게 있어서
그것도 같이 작동해버려서...
특정 도메인은 제외하고싶은데 부모창 도메인 다르면은 체크도안되고 돌겠네요
바보천사
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-11-30 (수) 20:19:26
if(!eregi("mydomain\.com", $_SERVER['HTTP_REFERER'])) { exit; }
이렇게 안될까요? 정규식 연산은 제가 잘 몰라서.
strpos나 뭐 그런 함수로도 될거 같구요.
$_SERVER['HTTP_REFERER'] 나를 어디서 호출 했는지 알 수 있으니 이걸로 비교해서 하면 될거 같은데요.
진호군
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-11-30 (수) 21:43:44
댓글감사합니다

$_SERVER 함수는 현재 페이지의 서버내용에서 출력해주는건데

a.com 에서 b.com/c.php 를 열었다면 c.php 에선 무조건 b.com 서버만나옵니다..
라엘
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-12-01 (목) 08:59:37
<?php
echo $_SERVER['HTTP_REFERER'] ;
?>

한번 페이지 상단에 써서 확인해보세요.
명랑폐인
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-12-01 (목) 09:54:19
상위 페이지 주소받아서 다르면 체크할랬더니
도메인이 다르니 상위 부모페이지 주소도 못받아오고..
익스에선 사용권한 없다고 아예 null 값도 출력안해줍니다..

try catch를 이용해서 에러 나면 localtion.href='http://www.warning.or.kr/'; 를 넣으시면 됩니다.
try {
if(parent) {
domain = parent.location.href;
if(domain) {
..................
}
}
} catch(e) {
localtion.href='http://www.warning.or.kr/';
}

보통은 윗글처럼 php소스에서 referer 를 체크하면 되고, 좀더 편하게 할려면 .htaccess를 수정하시면 됩니다.

iframe으로 긁어가는건 이렇게 막을수 있는데, socket으로 긁어가는건 못 막습니다.
그래픽노블
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-12-01 (목) 14:07:26
남의 노력을 공으로 먹는 그런놈들은 어떻게 고발할 방법이 없나..;;
알찬돌삐
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-12-01 (목) 17:34:22
if (top.location != document.location) {
}
흐스
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-12-02 (금) 02:02:33
아이프레임인경우 레퍼러 뜨지않나요? php에서 체크하여 해당 레퍼러뜨시면 야동사이트로 돌려버리세요
왕꽃대선사
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-12-02 (금) 13:22:54
그걸 역이용할 생각을 하는게 더 낫지 않을까요^^&
똥싼너구리
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-12-03 (토) 01:02:12
이걸 이용해서 아이프레임 같은걸로 할때에..
사이트 전체를 원래 사이트로 돌려버리더라구요...
senseme
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-12-04 (일) 02:18:47
자신의 도메인 체크해서 타 도메인일경우에 또는 변수값 등 이런 다양한 방법을 이용하시면
차단이 쉽게 처리되겠는걸요;;

어차피 파싱해서 하는게 아니라 그대로 가져다 쓰는것이기에...
임장군
프로필 보기게시판 작성글 보기전체 작성글 보기전체 댓글 보기
 2011-12-08 (목) 10:28:53
HTTP_REFERER로 차단할경우 검색엔진에서 컨텐츠 클릭하고 들어 올 경우에도 다른 도메인이기 때문에 차단됩니다.
javascript로 parent 체크해서 try catch 로 구분해서 처리해야합니다.
댓글을 작성하시려면 로그인이 필요합니다.

프로그램

8,188건
태그 필터 (최대 3개) 전체 개발자 소스 기타 mysql 팁자료실 javascript php linux flash 정규표현식 jquery node.js mobile 웹서버 os 프로그램 강좌 썸네일 이미지관련 도로명주소 그누보드5 기획자 견적서 계약서 기획서 마케팅 제안서 seo 통계 서식 통계자료 퍼블리셔 html css 반응형 웹접근성 퍼블리싱 표준화 반응형웹 홈페이지기초 부트스트랩 angularjs 포럼 스크린리더 센스리더 개발자톡 개발자팁 퍼블리셔톡 퍼블리셔팁 기획자톡 기획자팁 프로그램강좌 퍼블리싱강좌
+
제목 글쓴이 날짜 조회
16-03-02 조회 3,220
16-01-19 조회 2,506
15-12-23 조회 2,817
15-12-08 조회 3,624
14-10-30 조회 5,676
14-06-06 조회 5,511
12-08-30 조회 3,863
12-08-20 조회 3,785
12-07-15 조회 5,122
12-07-13 조회 3,595
12-07-06 조회 3,817
12-06-27 조회 3,337
12-06-23 조회 3,531
12-05-03 조회 5,152
12-04-20 조회 4,099
12-03-29 조회 4,589
12-03-22 조회 4,674
12-03-22 조회 3,475
12-03-21 조회 3,255
12-03-11 조회 3,686
12-03-06 조회 4,226
12-02-22 조회 4,503
12-02-17 조회 3,303
12-02-17 조회 6,149
12-02-14 조회 6,078
12-02-06 조회 4,227
12-01-18 조회 3,191
12-01-06 조회 3,415
11-12-30 조회 3,878
11-12-30 조회 7,023
11-12-21 조회 3,236
11-12-21 조회 4,213
11-12-16 조회 3,247
11-12-15 조회 3,290
11-12-15 조회 3,397
11-12-15 조회 4,186
11-12-09 조회 3,207
11-12-09 조회 3,280
11-12-07 조회 2,847
11-12-07 조회 3,939
11-12-05 조회 4,385
11-12-02 조회 3,827
11-12-01 조회 2,700
11-12-01 조회 2,737
11-12-01 조회 2,726
글쓰기