xss 공격 및 mysql 필드길이 변조
본문
안녕하세요.
최근 이상현상이 있어 문의를 남깁니다.
회원닉네임을 순한글로만 작성하게 해두었는데..
닉네임 이름뒤에 xss공격을 위한 코드를 심는 경우가 발생햇습니다.
<LINK REL=stylesheet HREF=http://goo.gl/*****>
위와 같이 스타일시트를 불러오는식의 태그를 닉네임 뒤에 붙였더군요.
그래서 일단 임시 방편으로 닉네임필드(mb_nick)의 길이를 10으로(기존255) 변경하고 닉네임 변경폼이 있는 모든곳에 태그제거 함수를 넣어 두었는데...
또 다시 같은 현상이 생겻습니다.
디비를 확인해보니 mb_nick 필드의 길이가 255로 되어 있는겁니다.
디비정보가 유출된나 해서 패스워드를 변경하고 다시 필드의 길이를 10으로 변경해두엇는데..
이번에는 255로 변경한 후 닉네임에 코드를 심고 제가 확인 하로 들어가보니 길이가 8로 변경되었더군요.
아직까지 특별한 일은 없는데..
관리자 정보를 탈취하기 위해 그러는건지.. 아님 회원들의 정보를 탈취하기 위해 그러는건지 감이 안오네요.
이미 관리자정보를 탈취 해서 뭔가 터트리기 위해 준비작업을 하고 있는지..
현재는 최대한 제능력으로 할수 있는 방어(페이지접속시마다 닉네임을체크 해서 이상이 있음 관리자에게 쪽지로 알리도록..)를 해두었는데..불안하기만 하네요..ㅜㅜ
이에대한 해법이나 보안취약점을 알고 계시는 선배님들의 조언을 부탁드립니다. (__)
꽃샘추위에 건강 조심하시고요.
감사합니다.
답변을 작성하시기 전에 로그인 해주세요.
