헉 CSRF보안은 또 뭐죠 정보
헉 CSRF보안은 또 뭐죠
본문
보안에 대해서는 까막눈이지만 대충 뚤리는 루트는 알겠네요
결론인즉 못된넘이 작성한 페이지를 관리자가 보면 안된다! 요게 핵심인듯 싶네요
간단하군요.. 홈페이지 전역에서 html사용불가로 하면.. -_-;;
그게 아니면 특정태그만 사용가능하게 하면?.... 태그종류가 많으니 특정태그를 걸러내는것 보다는
극히 제한된 특정태그만 사용하게 하는 방법도 있겠죠.
뭐 안전한 태그에서도 style= 로 시작해서 줄줄히 수작을 할 수 있으니
안전한 태그만 선별하고 태그내 스타일 등 변수를 무효화 시키도록 라이브러리화 해야되겠죠.
아.. 이러면 태그가 태그대접 못받으려나요..
또 한가지 방법이라면.. 정해진 아이피에서 접속하는 관리자만을 관리자로 인정하는 방법.
이 경우 자칫 관리자가 관리자 대접 못받는 경우가 생길 수 있겠군요.(유동아이피 유저라면.. 후덜덜..)
또 한가지 방법이라면..
방문객이나 회원이 작성한 게시물중 html정보가 포함되어 있다면 일단 태그를 걸르던가 태그 그대로를 보여주고 필요시 완성된 html을 볼 수 있도록 별도 창을 만드는 방법
아...... 게시물 클릭시마다 신경써야되니 내 홈페이지 방문이 매우 귀찮아 질수도 있겠군요
결론은.... 머리 아푸군요ㅜ,.ㅡ
결론인즉 못된넘이 작성한 페이지를 관리자가 보면 안된다! 요게 핵심인듯 싶네요
간단하군요.. 홈페이지 전역에서 html사용불가로 하면.. -_-;;
그게 아니면 특정태그만 사용가능하게 하면?.... 태그종류가 많으니 특정태그를 걸러내는것 보다는
극히 제한된 특정태그만 사용하게 하는 방법도 있겠죠.
뭐 안전한 태그에서도 style= 로 시작해서 줄줄히 수작을 할 수 있으니
안전한 태그만 선별하고 태그내 스타일 등 변수를 무효화 시키도록 라이브러리화 해야되겠죠.
아.. 이러면 태그가 태그대접 못받으려나요..
또 한가지 방법이라면.. 정해진 아이피에서 접속하는 관리자만을 관리자로 인정하는 방법.
이 경우 자칫 관리자가 관리자 대접 못받는 경우가 생길 수 있겠군요.(유동아이피 유저라면.. 후덜덜..)
또 한가지 방법이라면..
방문객이나 회원이 작성한 게시물중 html정보가 포함되어 있다면 일단 태그를 걸르던가 태그 그대로를 보여주고 필요시 완성된 html을 볼 수 있도록 별도 창을 만드는 방법
아...... 게시물 클릭시마다 신경써야되니 내 홈페이지 방문이 매우 귀찮아 질수도 있겠군요
결론은.... 머리 아푸군요ㅜ,.ㅡ
추천
1
1
댓글 7개
또 한가지 방법이라면.. 정해진 아이피에서 접속하는 관리자만을 관리자로 인정하는 방법.
--> 관리자가 모르는 사이, 관리자 본인이, 관리자의 권한으로 접근을 하는 것입니다.
--> 관리자가 모르는 사이, 관리자 본인이, 관리자의 권한으로 접근을 하는 것입니다.
그누보드 차원에서의 분류보다는 ip를 담은 별도 파일이나 db에서 불러온다던가 하는걸 최우선으로 하면 안될까요?
관리자라면 ip.php를 불러오고 아닐경우 "너 잡으러간다 꼼짝마라" 만 덩그러니 떠있고.....
관리자라면 ip.php를 불러오고 아닐경우 "너 잡으러간다 꼼짝마라" 만 덩그러니 떠있고.....
그것보다는 비스타에서 취하듯이 어떤 행동을 취할 때 다시한번 관리자의 암호 인증을 요구하는 시스템이 낫지 않을까 싶습니다. 어떤 쿼리문이 넘어올 때 그걸 실행할 것인지 취소할 것인지를 묻는 것이죠. 테크노트에서 같은 기능을 쓰는 걸로 알고 있습니다.
제가 볼 때 현재 그누는 보안이 허술합니다. csrf에 지금 노출된 상태고 또 가장 큰 문제는 $_GET과 $_POST를 구분하지 않도록 코딩되어 있다는게 큰 문제입니다. 예를 들어 member_form_update.php에서 받는 쿼리문이 $_POST만 받는다면 적어도 src=나 href혹은 다양한 방식으로 쿼리를 넘긴다해도 어느정도는 보안이 성립됩니다. 다음 버젼에서는 힘들더라도 extract를 쓰지 않는 방향으로 나아가야 할 것 같네요... 아니면 적어도 admin 관련된 폼전송관련해서는 $_POST만 쓰든지요...
제가 볼 때 현재 그누는 보안이 허술합니다. csrf에 지금 노출된 상태고 또 가장 큰 문제는 $_GET과 $_POST를 구분하지 않도록 코딩되어 있다는게 큰 문제입니다. 예를 들어 member_form_update.php에서 받는 쿼리문이 $_POST만 받는다면 적어도 src=나 href혹은 다양한 방식으로 쿼리를 넘긴다해도 어느정도는 보안이 성립됩니다. 다음 버젼에서는 힘들더라도 extract를 쓰지 않는 방향으로 나아가야 할 것 같네요... 아니면 적어도 admin 관련된 폼전송관련해서는 $_POST만 쓰든지요...
모든 form을 post로 바꾸는 것은 시급한 문제인거 같아요.
POST, GET 을 따지지도 않습니다.
한마디로 대책이 없는 보안 취약점 입니다. ㅠㅠ
한마디로 대책이 없는 보안 취약점 입니다. ㅠㅠ
이런저런 귀차니즘이 없으면서 가장 완벽한 방법은 딱 하나군요..
전역에서 html사용불가능
검증된 고레벨회원이나 관리자만 html가능.. 이러면 .....
(아.. ch에디터 지못미 ㅠㅠ)
전역에서 html사용불가능
검증된 고레벨회원이나 관리자만 html가능.. 이러면 .....
(아.. ch에디터 지못미 ㅠㅠ)
물론 공격은 post, get을 가리지 않지만 대부분의 공격에는 get을 사용합니다.
post전송은 먼저 자바스크립트가 활성화되어야 하고 또 어드민 계정 획득이 쉽지 않으며 전에 xss패치를 하면서 자바스크립트가 불능화 되었기 때문에 남은 것은 img나 다른 태그의 src태그를 이용하는 방법이 남았습니다. 사실 img 뿐 아니라 플래쉬도 문제가 되구요, 또 현재 글쓰기 폼에서 보면 저장은 그냥하고 나중에 글 읽기 할 때 conv_content 함수를 쓰던데 이것보다는 저장할 때부터 걸러내는 게 중요할 듯합니다. 그리고 불러올 때는 그냥 불러오면 되구요. 그래야 단지 읽기만 할 때 딜레이가 발생하는 것을 많이 줄일 수 있을거라 생각합니다.
외국사이트는 대부분 태그를 완전히 막고 [b], [img], [i]와 같은 태그를 오래전부터 사용해 왔는데 바로 이 문제가 예전부터 문제시 되었으나 한국은 너무 늦다는 생각이 드네요.
사실 저도 웹에디터를 개발해 왔는데 공개를 안하는 이유가 보안상 문제가 되는 부분을 해결할 파서가 개발되지 않았기 때문인데요, 관리자님이 최근에 csrf 관련 이야기를 해서 확인해보니 더욱 그 필요가 절실해지는 것 같습니다.
post전송은 먼저 자바스크립트가 활성화되어야 하고 또 어드민 계정 획득이 쉽지 않으며 전에 xss패치를 하면서 자바스크립트가 불능화 되었기 때문에 남은 것은 img나 다른 태그의 src태그를 이용하는 방법이 남았습니다. 사실 img 뿐 아니라 플래쉬도 문제가 되구요, 또 현재 글쓰기 폼에서 보면 저장은 그냥하고 나중에 글 읽기 할 때 conv_content 함수를 쓰던데 이것보다는 저장할 때부터 걸러내는 게 중요할 듯합니다. 그리고 불러올 때는 그냥 불러오면 되구요. 그래야 단지 읽기만 할 때 딜레이가 발생하는 것을 많이 줄일 수 있을거라 생각합니다.
외국사이트는 대부분 태그를 완전히 막고 [b], [img], [i]와 같은 태그를 오래전부터 사용해 왔는데 바로 이 문제가 예전부터 문제시 되었으나 한국은 너무 늦다는 생각이 드네요.
사실 저도 웹에디터를 개발해 왔는데 공개를 안하는 이유가 보안상 문제가 되는 부분을 해결할 파서가 개발되지 않았기 때문인데요, 관리자님이 최근에 csrf 관련 이야기를 해서 확인해보니 더욱 그 필요가 절실해지는 것 같습니다.