아이프레임 해제와 스트립트해제 > 그누4 팁자료실

그누4 팁자료실

그누보드4와 관련된 팁을 여러분들과 함께 공유하세요.
나누면 즐거움이 커집니다.

아이프레임 해제와 스트립트해제 정보

아이프레임 해제와 스트립트해제

본문

아이프레임이 안됩니다,  q/a
/lib/common.lib.php을수정하시면 됩니다.

function bad_tag_convert($code)
{
    return preg_replace("/\<([\/]?)(script|iframe)([^\>]*)\>/i", "<$1$2$3>", $code);
}

예))
function bad_tag_convert($code)
{
    return $code;
}
---------------------------------------------------------------------------------------
스트립트가 안됩니다  q/a
/lib/common.lib.php을수정하시면 됩니다.(주석처리)

// XSS (Cross Site Script) 막기
        // 완벽한 XSS 방지는 없다.
        // 081022 : CSRF 방지
        //$content = preg_replace("/(on)(abort|blur|change|click|dblclick|dragdrop|error|focus|keydown|keypress|keyup|load|mousedown|mousemove|mouseout|mouseover|mouseup|mouseenter|mouseleave|move|reset|resize|select|submit|unload)/i", "$1<!-- XSS Filter -->$2", $content);
        //$content = preg_replace("/(on)([^\=]+)/i", "on$2", $content);
        $content = preg_replace("/(on)([a-z]+)([^a-z]*)(\=)/i", "on$2$3$4", $content);
        $content = preg_replace("/(dy)(nsrc)/i", "dy$2", $content);
        $content = preg_replace("/(lo)(wsrc)/i", "lo$2", $content);
        $content = preg_replace("/(sc)(ript)/i", "sc$2", $content);
        $content = preg_replace("/(ex)(pression)/i", "ex$2", $content);
       
        $content = preg_replace("/\#/", "#", $content);
        $content = preg_replace("/\</", "<", $content);
        $content = preg_replace("/\>/", ">", $content);
        $content = preg_replace("/\(/", "(", $content);
        $content = preg_replace("/\)/", ")", $content);

예))
   /*
        // XSS (Cross Site Script) 막기
        // 완벽한 XSS 방지는 없다.
        // 081022 : CSRF 방지
        //$content = preg_replace("/(on)(abort|blur|change|click|dblclick|dragdrop|error|focus|keydown|keypress|keyup|load|mousedown|mousemove|mouseout|mouseover|mouseup|mouseenter|mouseleave|move|reset|resize|select|submit|unload)/i", "$1<!-- XSS Filter -->$2", $content);
        //$content = preg_replace("/(on)([^\=]+)/i", "on$2", $content);
        $content = preg_replace("/(on)([a-z]+)([^a-z]*)(\=)/i", "on$2$3$4", $content);
        $content = preg_replace("/(dy)(nsrc)/i", "dy$2", $content);
        $content = preg_replace("/(lo)(wsrc)/i", "lo$2", $content);
        $content = preg_replace("/(sc)(ript)/i", "sc$2", $content);
        $content = preg_replace("/(ex)(pression)/i", "ex$2", $content);
       
        $content = preg_replace("/\#/", "#", $content);
        $content = preg_replace("/\</", "<", $content);
        $content = preg_replace("/\>/", ">", $content);
        $content = preg_replace("/\(/", "(", $content);
        $content = preg_replace("/\)/", ")", $content);
        */

알려주신분 곱슬최씨님

추천
1

댓글 11개

2가지중 한가지라도 해제하면, 사이트를 해킹앞에 무방비로 두는 것 입니다.
내 계정만 다치는게 아니라, 서버에 따라 다른 사람의 계정도 다칠 수 있죠.
iframe과 script는 root kit을 허용하는 것이라서, 다른 계정도 다칠 수 있는거고
아무리 서버가 잘 방어를 한다고 해도, 해킹툴이 새로 나오므로 서버에 있는
다른 계정들까지 모조리 다 감염될 수 있는 겁니다.

글쿠 내 계정은 db 삭제부터 이런 저런 험한 꼴을 다 당하게 될 수 있습니다.
안전한 호스팅이라도 xss/csrf에서는 지켜주지 못하므로 하면 안되는 겁니다.
멘트글을 읽어보니 무섭기 하지만 그쪽 홈주인이 아이프레임이 게시판에서 적용이 안된다고 적용되게 고쳐달라고 하니까 어쩔 수 없이 본문처럼 하니까 고쳐지긴 했지만 핵킹 위험이 있다고 하니 걱정이 되어서리....ㅠㅠ. 왜 그누보드 게시판에서 edmbed 영상소스를 넣으면 관리자는 볼 수 없다고 하는건지 알 수가 없네요.
전체 0 |RSS
그누4 팁자료실 내용 검색
  • 개별 목록 구성 번호 제목 작성자 작성일 추천 조회
  • 게시물이 없습니다.

회원로그인

(주)에스아이알소프트 / 대표:홍석명 / (06211) 서울특별시 강남구 역삼동 707-34 한신인터밸리24 서관 1404호 / E-Mail: admin@sir.kr
사업자등록번호: 217-81-36347 / 통신판매업신고번호:2014-서울강남-02098호 / 개인정보보호책임자:김민섭(minsup@sir.kr)
© SIRSOFT