root 폴더의
ommon.php 216라인 주석해제해서 session_save_path(G5_SESSION_PATH); 에 세션을 저장했을때
직접 https://도메인/data/session/sess_sdflkjskldfskldflkdsjflkdsfkljlkdsfq 파일을 다운로드 실행했을때
Forbidden
You don't have permission to access this resource.
로 나오면 안전한건가요?
아니면 위처럼 나와도 보안에 문제가 문제가 있을까요?
답변 1개 / 댓글 1개
채택된 답변
+20 포인트
ifelse
개인적 생각을 답변드리자면 세션 저장위치에 퍼미션이나 실행방지등은 작동하는건 맞고 보안에 기초적 설정은 작동하고 있다고 봐야겠죠.. 다만 보안적으로 최선의 선택은 아니라고 봐야하는게
1. 그누보드는 오래된 오픈 소스이고 과거 웹호스팅등으로 웹루트 예하만 허용되는 환경을 고려해서 data폴더내에 구성하도록 설계되었다고 봐야합니다만 하이재킹 공격 1순위로 찔러볼곳이data/session/이 세션파일의 저장위치입니다.
찔러보기 좋은곳.. 공격자에겐 소문난 맛집 같은곳입니다
2. 웹루트 예하에 저장이기에 rce 공격외에 다른 우회 접근등 확률적으로 공격의 성공률을 높혀주는 폴더 입니다.
즉 베스트 선택은 아닙니다. 웹소스 상위의 url접근이 불가한 상위 폴더나 서버 내 다른 폴더로 세션 저장 읽기가 가능한 상태라면 data/session을 저장 위치로 잡을 이유는 전혀 없습니다.
1. 그누보드는 오래된 오픈 소스이고 과거 웹호스팅등으로 웹루트 예하만 허용되는 환경을 고려해서 data폴더내에 구성하도록 설계되었다고 봐야합니다만 하이재킹 공격 1순위로 찔러볼곳이data/session/이 세션파일의 저장위치입니다.
찔러보기 좋은곳.. 공격자에겐 소문난 맛집 같은곳입니다
2. 웹루트 예하에 저장이기에 rce 공격외에 다른 우회 접근등 확률적으로 공격의 성공률을 높혀주는 폴더 입니다.
즉 베스트 선택은 아닙니다. 웹소스 상위의 url접근이 불가한 상위 폴더나 서버 내 다른 폴더로 세션 저장 읽기가 가능한 상태라면 data/session을 저장 위치로 잡을 이유는 전혀 없습니다.
답변에 대한 댓글 1개
안졸리니졸리니
2026-04-27 (월) 14:10:46
답변을 작성하려면 로그인이 필요합니다.
^____^