묻고답하기
page_full_width" class="col-xs-12" |cond="$__Context->page_full_width">
xss 에 대해서 질문드립니다.
2014.03.04 10:20
현재 xe 에 [게시판]에서 관리자계정은 HTML 편지기를 이용하여 XSS 공격이 된다고 알고있습니다.
일반 사용자는 안된다고 알고있습니다.
게시판의 content 내용이나 제목을 어느 모듈 어느 루틴에서 관리자 계정과 , 일반사용자를 구분하여
스크립트를 사용할 수 있는지 궁금하고
보안코딩을 하는 입장에서 생각했을 때 관리자 계정이 XSS공격이 된다면 관리자 계정을 획득한다면
큰 피해가 입을거라 생각이 됩니다.
수고하십시요.
우선 저도 게시글을 보고 관심이 생겨서 찾아본거라 정확하지 않을 수 있습니다. (XE 1.7.4버전 입니다)
1. 스크립트코 제거 펑션은 ./config/func.inc.php파일의 removeHackTag()로 보입니다.
2. 글 작성이나 수정시 최종적으로 ./modules/document/document.controller.php 파일이 관여하는거 같습니다.
- 아래처럼 새글 작성시, 기존글 수정시 스크립 코드 제거를 위한 프로세스가 보이는데 말씀하신 것처럼 관리자가 아닐경우에만 작동하는것으로 보이므로 아래 두곳의 코드를 수정하면 될것처럼 보입니다.
- 새글
- 기존글 업데이트