세상 사는 이야기

좀 안다고 장난치시는 분들 때문에 게시판 운영이 참 어렵습니다. 날짜:2020-2-23 8:41:59 조회수:15455
작성자 : 소엔
포인트 : 1726
가입일 : 2020-02-02 00:09:14
방문횟수 : 134
글 218개, 댓글 65개
소개 : SoEn 운영자입니다.
 작성글 보기
쪽지 보내기
저는 응용 프로그램 개발자이지 웹 전문가는 아닙니다. 웹 사이트를 운영하고는 있지만 전문적으로 웹 개발 하시는 분들에 비해서는 내공이 한참 부족합니다.

그나마 DB와 PHP 조금 할 줄 알아서 이 정도 게시판은 운영합니다만 치밀한 운영이나 보안에 대해서는 허술한 구석이 많으며 그러다 보니 SoEn 게시판은 해커들의 놀이터가 되어 버리더군요.

일전에 익명으로 게시판을 운영할 때는 대학 강사분이 사이트를 통째로 해킹해서 파일도 들여다 보고 왔다 갔다는 흔적도 당당히 남기고 학생들에게 "이런 식으로 하면 뚫린다"라는 예제까지 올려 놓으셨더군요.

그래도 그 분은 들여다만 봤지 해를 끼치지는 않았습니다. 여기 털어 봐야 딱히 나올 것도 없고 또 공부를 위해 운영하는 사이트라는 것을 이해해 주는 편인 듯 했습니다.

그러나 오늘 오전에 장난질을 치신 분은 좀 악의적이더군요. 로그를 뒤져 보니 글을 하나씩, 하나씩 무려 22개를 지워 먹었습니다. 3~4분 간격으로 글 ID를 조사해서 감상하듯 지운 흔적이 있습니다.



이게 가능한 이유는 게시판 소스를 공개해 놓았기 때문입니다. 글을 삭제할 때 서버의 어떤 파일을 호출하고 인수는 무엇인지 다 알 수 있으니 로그인하지 않더라도 호출만 하면 삭제됩니다.

http://www.soen.kr/sb/cancelpost.php?name=someboard&postid=123

예를 들면 이런 식입니다. 웹 조금만 알면 GET 방식으로 인수 전달한다는 걸 알 수 있으니 이런 장난질이 가능합니다. 문제는 제가 삭제 모듈에서 로그인 여부와 진짜 글쓴 사람이 맞는지 확인하지 않고 있다는 겁니다.

글 보기창에서 "삭제" 링크에 대해서만 권한 점검을 하고 있어 주소를 바로 치고 들어오면 속수무책으로 당합니다. 지금은 물론 수정해 놓았습니다만 또 어떤 구멍이 있을지 모르죠.

삭제된 게시물을 로그 뒤져 복원해 놓았습니다만 게시물 올린 시간과 제목은 백업이 없어 제가 임의로 처리했습니다. 제목이 바뀌신 분들 양해해 주십시오.

과거에도 무분별한 광고와 타 사이트로 강제 전환 스크립트 등등을 올리는 분들 때문에 너무 피곤해서 게시판을 폐쇄했었습니다. 혼자 그걸 다 막아 내기는 역부족입니다.

그러나 이번에는 보안 헛점이 발견되는 족족 수정하고 해킹하는 분들 IP를 추적해서 형사 고발을 하는 한이 있더라도 이 게시판을 끝까지 운영해 볼 생각입니다. 당분간은 좀 허술하더라도 양해 바라며 혹시 보안 헛점을 발견하시면 저에게 알려 주십시오. 아무리 바빠도 적극적으로 대응하겠습니다.

감사합니다.









 



개발자의 천국 SoEn
踰꾧굅�궧 �빖�뱶�뱶由쎌빱�뵾 ����쟾留� 媛��쓣�궇�뵪 �빐臾쇱㎚戮� �뿬�닔 �늿�샇媛� �궡�쇅�룞 �떊�꽭怨꾨갚�솕�젏�쟾�꽭 ���異� 鍮꾧탳����뵒利덊겕�씪�슦�뵒 遊꾪뙣�뀡

목록보기 삭제 수정 신고 스크랩

cadenzah 2월24일 8:54:56  

🤬

소엔 2월25일 8:58:53  

지금은 다 복구해서 괜찮아진 거 같애요.

henrietta 2월25일 12:57:10  

황당하네요 ㄷㄷ...

소엔 2월25일 8:59:16  

그러게 말입니다.
그래도 돈이 오고 가는 사이트는 아니라서 심하게 장난질을 하지는 않아 다행입니다.
 

hmltotex 2월25일 4:34:52  

혹시 보안 허점을 발견하면 어디로 알려드리면 될까요?

소엔 2월25일 8:58:40  

왼쪽에 보시면 운영자 메일 링크가 있습니다.
웹 좀 하시면 참고가 될만한 보안 강화 사항 알려 주시면 즉시 반영하겠습니다.


로그인하셔야 댓글을 달 수 있습니다.