메인 공지사항 기능소개 매뉴얼     TEST BOARD : [1]  [2]  [3]  [4]  [5]
내용없음9
내용없음10
      Main Intro
메인

공지사항

기능소개

매뉴얼

  TEST BOARD
    [1] [2] [3] [4] [5]
최근 30일 POINT RANK
결제충전및 스킨매매 포인트 제외
아이케
스카라베
신홍
작은소망
5
TECHSTAR
6
별미일체
7
기즈모SOFT
8
늑대소냐
9
콜라~
10
화랑
11
청주산의
12
캥가루
13
찬이아빠
14
미미
15
컴퓨터나라
16
소망의힘
17
NE1
18
호크신
19
유오성
20
진호네
21
체리피커
22
쨔응교
23
신태원
24
양산박
25
정승현
26
상옥이
27
노트패
28
yerangman
29
ll니캉내캉ll
30
아이맨
XSS 해킹 보안패치
 technote notice
테크노트 공지사항
ㆍ작성일: 2011/04/20 (수)
XSS 해킹 보안패치
 

취약점 : XSS 해킹 기법에 의한 로그인 권한 탈취
 
 
패치대상 : TECHNOTE6  , TECHNOTE7
 

패치방법 : 이하 매뉴얼에 따라 [원본코드] 를 [수정코드] 로 대체합니다.
 
 
  1. technote/lib.php
 
      430번 라인 부근입니다.
 
      [원본코드]     //if($_SESSION['TnitIlxnm']!=$_SERVER['REMOTE_ADDR']) error_msg('width=');
      [수정코드]      if($_SESSION['TnitIlxnm']!=$_SERVER['REMOTE_ADDR']) session_destroy();
 
 
 

   2, technote/skin_board/스킨폴더/3_body.php
       게시판 본문출력스킨  파일입니다.
       본문출력 스킨파일을 여러개 사용한다면 모두 수정합니다.
 
 
       2-1, 본문내용 출력코드(standard 스킨의 경우 430 번 라인 부근)
 
        [원본코드]
         <?=embed_to_script($Body_data['tbody'])?>
 
         [수정코드]
         <?
            if($GLOBALS['you_Manager']){
               $shift_box = "<span style='background:#ffeeaa; padding:7px; color:#ee5555;'>출력제한 object</span>";
               $Body_data['tbody'] = preg_replace('/<object[^>]+>?(.*?<\/object>)?/is',$shift_box,$Body_data['tbody']);
               $Body_data['tbody'] = preg_replace('/<embed[^>]+>?(.*?<\/embed>)?/is',$shift_box,$Body_data['tbody']);
               echo $Body_data['tbody'];
            }
            else{
               echo embed_to_script($Body_data['tbody']);
            }
         ?>

 
 
 

       2-2, 플래시 첨부파일 본문출력 코드 (standard 스킨의 경우 460 번 라인 부근)
 
             [원본코드]
                 elseif($file_type=='swf.gif'){

             [수정코드] 
                 elseif($file_type=='swf.gif' and !$GLOBALS['you_Manager']){

 
 

        2-3, 플래시 첨부파일  댓글출력 코드

               댓글 파일첨부 기능을 추가한 경우
               (http://www.technote.co.kr/php/technote1/board.php?board=skin&command=body&no=305)
               에만 해당됩니다. 테크노트 원본 스킨에는 댓글에 파일첨부 기능이 없습니다.
 
                [원본코드]
                    if($Insert_swf){

                [수정코드]
                     if($Insert_swf and !$GLOBALS['you_Manager']){

 
 
 
 3. technote/include/board/config.php  
 
    [원본코드]
     // 6-12, html 허용 모드에서도 본문 내용에서 관리자외는 허용하지 않을 단어(ascii코드로 변환됨, 대소문자 구분 안함)
      $CnF_trs_ascii = array('<script','</script','javascript:','vbscript:','document','cookie','<meta');

     [추가할 코드] - 위 원본코드는 그대로 두고 바로 아랬줄에 이 코드를 새로 추가만 하십시오.
      array_push($CnF_trs_ascii,'onclick=','ondblclick=','onmousedown=','onmouseup=','onmouseover=','onmouseout=',
      'onmousemove=','onkeydown=','onkeyup=','onkeypress=','onload=','onunload=','onabort=','onerror=','onselect=',
      'onchange=','onsubmit=','onreset=','onresize=','onscroll=','onfocus=','onblur=','onforminput=','oninput=','oninvaild=',
      'ondrag=','ondragend=','ondragenter=','ondragleave=','ondragover=','ondragstart=','ondrop=','onmousewheel=',
      'onscroll=','oncanplay=','oncanplaythrough=','ondurationchange=','onemptied=','onended=','onerror=','onloadeddata=',
      'onloadstart=','onpause=','onplay=','onplaying=','onprogress=','onratechange=','onreadystatechange=','onseeked=',
      'onseeking=','onstalled=','onsuspend=','ontimeupdate=','onvolumechange=','onwaiting=','onmessage=','onshow=');

 
      본문내의 자바스크립트 event 요소들을 모두 차단하게 되니, 홈페이지 특성에 맞는지 판단하셔서 적용하십시오.
 
 
 
 

  끝.