재밌다고 생각해서 올린 글이 엄청난 공포감만 불러일으킨거 같군요..
문제가 된 부분이 있다면 '최고 관리자가 이런 글을 읽는다면' 이라는 상황에서 발생한 것 같습니다. 본의는 아녔지만 혼란을 드려서 죄송합니다.
최고 관리자 권한이 있는 계정으로는 관리만 한다면 아무 문제도 일어나지 않습니다.
관리자 계정과 어울리기 위한 계정을 따로 두는 것이죠.
다른 XSS나 CSRF 등등 앞단에서 생길 수 있는 취약점에서도 마찬가지 일거에요. 일반 회원은 그런 일을 할 권한 자체가 없으니까요.
다시 한번 혼란 드려서 죄송합니다.
?
그렇습니다.
악용한다면 저같으면 이렇게 했을 것 같습니다.
회원 삭제도 가능하다면, 임의로 member_srl을 1부터 x만번대까지 입력해서(사이트 게시물과 회원수를 보고 대충 판단)
게시글을 올리는 거지요. (혹은 게시물일 수도 있겠죠?)
그럼 관리자가 볼 경우 모든 회원이 삭제되고, 회원이 볼 경우 본 회원만 삭제가 되겠죠....
해킹이나 취약점에 취자도 모르는 제가 이정도 생각할 정도면,, 이것이 본업이나, 크래커였다면...ㅎㄷㄷ
?
?
개발자들은 이런거 보면 재미있으니까 자동로그아웃에 머물지 않고 더 대담하게 실험해 보게 되죠.
그러다 보면 엄청난 취약점이 발견될 수도 있고...
모두들 잠시 비상이 걸렸겠지만 패치도 빨리 나왔고
생소한 종류의 보안취약점에 대한 경각심을 높이는 계기도 된 것 같아요.
작년의 드루팔 SQL injection 사태가 떠오르네요. Prepared statement를 사용하니 안전하다고 자부했지만
아무도 신경쓰지 않은 작은 실수 때문에 그 모든 방어가 한순간에 무너져내렸죠 ㅠㅠ
그나저나 다들 어서 패치를 적용하거나 미솔님 애드온을 설치해야 할 텐데...
XE는 오래된 버전을 쓰는 분들이 많아서 걱정입니다.
?
