묻고답하기
XE 1.4.5.13 XSS 취약점 보완(계속)
2012.09.07 15:50
XE 1.4버전에 대해서 지금까지 보안조치 해주신 내용중에 XSS에 대한 내용들이 있는 것으로 알고있는데,,
파일명이나, 태그등에 내장된 XSS말고, URL에서 직접 치고 들어가는 XSS
(http://x.x.x.x/xe/?mid=notice&category='"--></style></script><script>alert(0x000640)</script>)
의 경우에는 XSS방어가 안되는 것 같습니다
그래서 제가
func.inc.php안에 xss_cleaner_new()라는 함수를 추가해서
('" 를 발견하면 다른 문자로 치환)
function xss_cleaner_new($input_str){
$return_str = preg_replace('/"\'/','&l', &input_str);
return $return_str;
}
원래있던 getUrl() 함수에
$args_list=Context::xss_cleaner_new($args_list);
를 추가했습니다만,, 이랬더니 XSS는 막아지는데, 게시판이 아예 안들어가지더라구여ㅜㅜ(깨져서 나옵니다.)
붙임파일 참고 바랍니다.
해결방법이 없을까여?
