묻고답하기
page_full_width" class="col-xs-12" |cond="$__Context->page_full_width">
/files/attach 직접 다운로드 방지 방법이 있나요?
2017.05.25 11:23
다운로드에 권한을 줘도 /files/attach/binaries/xxx/xxx/xxxxxxxxxxxx 로 직접 다운로드 해버리면 안막아지더라구요
물론 저 디렉토리 안에 파일 이름이 다 암호화 되어 있어서 어디 게시물의 어떤 파일인지 구분은 안되겠지만.. 그냥 파일이름만 바뀌어져 올라가 있는 거라 받은 후 이름만 바꾸면 되니까요..
이거 방법이 없나요?
당연히 httpd.conf 에 indexes 는 꺼둬서 브라우징은 안되게 되어 있습니다.
.htaccess 같은 것을 이용하면 될 것 같은데.. 혹시 방법 아시는 분들계시면 알려주세요
미리 감사 드립니다.
애초에 files/attach/binaries 폴더안 파일명을 알아낼 수 있는 방법은 취약점을 이용하지 않는한 없으며(알아낼 수 있다면 취약점이니 제보하시면 됩니다), 파일명 또한 원본 파일명과 무관한 랜덤 문자열이라 방지가 큰 의미가 있을지는 모르겠습니다만, 가능은 합니다.
제일 간단한 방법은 binaries 폴더 안에 .htaccess 파일을 생성후 내용을 Deny from all 로 저장하는 것입니다.