웹마스터 팁
비밀번호 찾기 기능 조심하세요
2010.10.28 00:38
오늘도 홈페이지 제작과 유지 관리 및 보수에 힘쓰고 계신 xe 기반 홈페이지 운영자님들 안녕하십니까.
요 근래 웃기지도 않은 사태를 2번씩이나 경험해서, 혹시 모르니 다른 분들도 참고하시라는 의미로 올립니다. 1번이면 웃고 넘어가겠는데 2번이니 안 웃기더라구요 -_-)
사건의 발단을 이렇습니다. 아침에 메일함을 열어보니 무려 36개의 안 읽어본 메일이 있더군요. 그런데 그 수보다도 메일 내용이 더 웃깁니다.
...이게 다 뭐시여.
아무거나 한번 눌러보죠.
![mail.naver.com_10_28_00_15_46.jpg](https://xe1.xpressengine.com/files/attach/images/121/241/225/019/mail.naver.com_10_28_00_15_46.jpg)
저는 gigglehd.com이라는 사이트를 운영중입니다.
거기의 관리자 아이디는 gigglehd이구요.
제 이름은 강호가 맞고 닉네임은 낄낄이 맞습니다.
이메일 주소는 storyhold골벵이나베르닷컴이 맞지요.
그리고 저 메일은 누군가가 gigglehd 계정을 상대로 비밀번호 찾기 기능을 36번 눌러제꼈다는 의미입니다.
그런데, 여기에는 몇가지 문제가 있습니다.
1. 메일 발송 시각인 26일 밤 11시 21분에는 제가 자고 있었습니다. 그날 9시 반에 일찌감치 잤거든요. 그리고 저 몽유병 같은거 없어요 -_-)
2. 보낸 사람이 storyhold골벵이나베르닷컴입니다. gigglehd.com 서버가 나베르 서버에 입주한 것도 아닌데 gigglehd.com에 깔린 xe의 비밀번호 찾기 메일을 나베르에서 대신 보내주나요?
3. 저는 단독 서버를 사용중입니다. 서버 설치할때 애시당초 메일 서버를 설치하지도 않았습니다. 따라서 제 서버에서 메일을 보낼 수 없습니다.
4. 3의 이유로 해서, 아예 로그인 창에서 비밀번호 찾기 링크 자체를 빼버렸습니다 -_-) 작동도 안하는거 왜 달아놨냐는 소리를 몇번 들어서요.
![asd.jpg](https://xe1.xpressengine.com/files/attach/images/121/241/225/019/asd.jpg)
요렇게.
따라서, 이런 결론이 가능합니다.
1. 저 이메일의 헤더가 조작되어 발신인을 storyhold골벵이나베르닷컴로 바꿨습니다. 실제 메일 발송은 다른 곳에서 하였습니다.
2. 저 메일을 보낸 작자는 xe의 시스템에 나름 연구를 했습니다.
제가 비밀번호 찾기 이메일을 본적은 없는데 -_-) 분명 양식은 저것과 똑같을 것입니다.
거기에 auth_key 링크를 만들어서 거기에 맞는 비밀번호까지 만들줄 알고 있으니까요.
결정적으로 비회원에게 회원 정보 보기가 공개되지 않고, 회원 정보를 봐도 제 '실명'은 나오지 않습니다(회원 정보 보기에서 이름이 나오지 않도록 소스를 바꿨습니다). 따라서 xe에 직접 쿼리를 날리던가 해서 추출해낸 정보임이 분명합니다.
제가 이런 일이 두번째라고 했지요? 10월 11일에 이런 일이 있었고, 그리고 26일에 또 한번이네요(일기 쓰는 습관이 있어서 확실합니다).
저는 위 사실들을 알고 있었기 때문에 저 링크를 눌러보지 않았지만(분명 링크 주소를 보면 멀쩡한 제 사이트의 주소임에도 불구하고!) 만약 멋모르고 얼떨결에 눌렀다면 어떻게 됐을까요 -_-)
참 이런 데로는 머리가 잘 돌아가는 놈들이죠. 다른 분들도 조심하시기 바랍니다. 아, 저는 영어/숫자 조합 17자리 비밀번호를 사용중이라 별로 여기서 털릴 일은 없어요. 그것도 슬슬 바꿔줘야 하려나.
- [2018/07/13] 묻고답하기 첨부한 파일 링크 텍스트로 추출하는 방법은 무엇인가요? *2
- [2018/03/28] 묻고답하기 $oMail->setSender Sender 이메일 발신자가 공백으로 나옵니다. *3
- [2016/04/29] 묻고답하기 이메일인증 문의 *1
- [2015/07/06] 묻고답하기 이메일 인증을 따로 빼내 사용하고 싶습니다.
- [2014/08/06] 웹마스터 팁 특정 도메인 가입 않되게 (인증메일 관련)
댓글 4
-
plruto
2010.10.28 07:00
-
띵야
2010.10.28 12:12
전체적으로 공지가 필요하지 않을까요...
-
김재현573
2010.10.28 15:26
심각한 문제네요. 이것도 가능하다니...
-
불패의초인
2010.10.28 18:57
으허 무섭다;;;
제목 | 글쓴이 | 날짜 |
---|---|---|
리눅스 서버를 구축해 보자! #1 [11] | 꼬토 | 2002.11.21 |
ab 를 이용한 간편한 아파치 성능 측정 [2] | 정인배 | 2002.11.15 |
윈xp pro 를 net 서버로 바꾸기
[7]
![]() | 정회철 | 2002.11.13 |
사용자 자동 등록 쉘스크립트 [1] | 편리 | 2002.11.05 |
OpenBSD3.2 설치가이드 - 완결 [3] | pravda | 2002.11.02 |
[Apache] 윈도우 NT 계열에 서비스 등록하기
[1]
![]() | 스카이 | 2002.09.08 |
웹호스팅의 꽃 A.P.M.~ 을 알아보자! (1부) [9] | 임현 | 2002.08.25 |
http://도메인/~아이디 를 http://도메인/아이디 로 ^^ [11] | 임현 | 2002.07.31 |
오랜만에 올리는 팁이군요. - 웹호스팅 쉽게해보기! - [8] | 임현 | 2002.07.28 |
특정 파일(ex: mp3,avi,mpg)만 찾아서 자동으로 삭제하기! | 임현 | 2002.06.27 |
Mysql 데이타베이스 백업및 복구(2)... [5] | 이휘은 | 2002.06.22 |
간단팁 서버 Info! [4] | 임현 | 2002.06.21 |
하드디스크의 모든성능을 써버리자! [4] | 임현 | 2002.06.14 |
[알아서 나쁠것없는 10원짜리 팁!] 수십 수백명사용자의 일괄생성 방법! [6] | 임현 | 2002.05.09 |
Apache2.0.35 + php4.3.0-devel 설치하기;; [15] | Cksoft | 2002.04.08 |
리눅스 아주 간단한 사용자 계정 주기-_- [7] | i- | 2002.03.12 |
근사모의 APM_steup3설치 법 [5] | 뽀유★ | 2002.03.01 |
아파치 가상 유저 설정하기 [6] | i- | 2002.02.24 |
에러페이지를 서버관리자가 지정한 페이지로. [1] | teenteenv | 2002.02.21 |
[APM자동설치] APM_Setup 3 ( Apache, PHP4, MySQL, Perl, Tomcat ) [6] | 근땅e | 2002.02.06 |
결국엔 이것에 대한 대책도 있어야 되겠군요.