오늘 제가 조금 열 받아서.. (디비때문에 그냥 화풀이 삼아 씁니다)
요즘은 보통 아파치가 디렉토리의 화일 리스트를 만들어 주지 않
기 때문에 이런 문제는 별로 생기지는 않지만 대부분의 기존 게시판
프로그램들을 그대로 사용하는 경우가 있습니다.(패스워드와 계정
만을 변경한 체로....
그에 따른 여러가지 문제점입니다.
우선 이 적수 보드는 MySQL과 연동되기 때문에 디비에 대한 비밀번호
가 여기 설정에 들어가게 되어있습니다. 그래서 만약 심심한 사람이
적수님의 관리자 패스워드와 디비 패스워드가 궁금한 경우에 그냥
다이렉트로 알아 볼수 있습니다.
증거를 보이라고요 --;
적수님 $sadmin[name]="적수" 이고 $db[user]="root" 이런식이더군요
(디비가 루트라서 그 암호만 알면 디비 전부를 조작 할 수 있도록
설정되어 있군요 이러면 안좋습니다.)
왜 이런일이 일어나는 지는 어느 화일 어디에 있는지 정확히 알고
URL을 수동으로 지정할 수 있기 때문에 생기는 문제입니다.
이것은 거의 모든 공개 보드중 암호화 능력이 없는 보드의 문제입니다.
방법은 패스워드 화일을 웹이 접속할 수 없는 곳으로 옮기고 소스에서
사용자 패스워드를 요구하는 부분에 로컬 화일 오픈 함수를 통해서 읽
어도록 수정하거나(절대경로를 사용해서, 뭐이것도 업로드가 허가 되
어 있다면 소용없겠지만) 공개 형태 그대로 쓰지 않고 모조리 화일 이
름을변경하는 것도 한 방법입니다. 뭐 여러가지 공격과 방어 법이 있겠
죠.--; (공격하는 넘이 더 유리 할겁니다. 생각에 --
그냥 MySQL이 앙탈을 부려서 화풀이를 여기서 합니다.
행복하세요.