버그/건의 TOP 20
일간 l 주간 l 월간
인텔 코어 울트라7
버그/건의
디버깅을 해드리다보니 독학으로 코딩을 배운 제 입장에서 얼마나 디버깅이 중요한지 깨닫게 되었습니다? ㅋㅋㅋ 사실 독학이다보니 개발자로 일하지 않고, 원래 하는 업종은 따로 있어서 .. 그 업종을 하면서 간간히 독학으로 배운 코딩을 연습해보는 편이다보니 아무래도 뒤집기가 쉬웠습니다 ㅎㅎ;; 디버깅을 안하고 뒤집기 일수이고, 스파게티 코딩으로 인해 버그를 발견해도 해결하지 못하는 경우도 허다했죠.. 그래서 이것저것 찾아드리면서 “아, 이런게 문제가 될 수 있구나~” 하는 마음으로 틈날때마다 사이트를 찾아와 디버깅을 하고 있습니다. 물론, 지금 쓰는 이 글은 두번째 작성중입니다. 왜 오류가 났냐면.. gif를 올리려고 하면 용량 제한이 걸리는지 업로딩 실패가 되어, URL로 삽입을 하니 500 코드로 반환되더군요..(?) 아무튼 그렇게 제 코드를 보다보면 이런 생각이 들어서 갑작스레 적어본 똥글입니다. 아참, 대장님 https://villain.city/contents/view/357 이거 보셨는지요..? 피드백이 없으셔서 못보신건가.. 메인페이지가 바뀌질 않고 있어서 다시 한번 언급해봅니다 ㅋㅋ 지금은 왜 또 되는 것이지..? 카테고리가 ROOT > 로 표기되던데.. 올라갈때 뭐 이상하게 올라갔나..
2025.08.11
2
3
지금 현재 빌런의 모바일은 정말 빌런 다운 버그가 일어나 있는 상황입니다. 무슨 버그냐구요? 모바일에서는 2번째에 있는 게시글이 앞 게시글을 잡아먹는 버그가 있습니다. 이렇게 보이던 게시글이 해상도를 줄이면? 이런식으로 잡아먹히는 문제이죠. 콘솔을 통해 보면 앞 게시글의 가로 사이즈 354px이하로 내려가자마자 뒷 게시글로 크기가 이동되는 것이 보이지요? 왜 이런 문제가 생기느냐.. 바로 이 div를 합치는 구간 때문에 발생됩니다. 반응형 웹 페이지는 별도로 모바일 웹버전인 (m.villain.city) 이런식으로 들어가지 않아도 똑같은 URL을 통해 모바일과 데스크탑을 함께 사용 할 수 있도록 만들어진 웹 페이지를 반응형 웹페이지라고 합니다. 반응형 웹페이지의 장점은 모바일 웹으로 구성하면 2개의 웹소스를 운용하거나, 2개의 웹페이지를 별도로 제작해야 한다는 단점이 있던 것을 하나로 관리할 수 있다는 장점이 있습니다. 대신에 두 개로 나눠서 관리하던 것을 하나로 관리해야 하는 점에서 class 같은 지정을 제대로 운용해야 합니다. 근데 빌런은 그 운용을 제대로 하지 못하여 모바일로 접속시 제대로 된 페이지 표기가 되지 않았던 것이죠. 모바일로 보면 게시글은 1열로 표기 되어야 하는데 기본 값이 2열로 설정되어 있어 1칸으로 바뀌었지만 없는 1칸을 또 만들어서 2열로 만들다보니 기존에 있던 좌측의 div 칸을 집어 먹어버리는 문제가 발생해버린 것이죠. 이 문제가 되는 col-span-2와 row-span-2 를 지워버리면? 이랬던 게시글 상태가 이렇게 숨겨졌던 게시글이 표현되면서 정상적으로 변경되는 것을 확인할 수 있었습니다. row-span-2와 col-span-2가 어디서 반환되는지 찾아보려 했는데.. 애초에 carouselMain.js를 통해 값이 반환되는 것으로 보이더군요. api로 어떻게 반환되는지는 모르겠습니다만.. main.html을 이용해서 반환되는 것을 봤습니다. 근데 main.html인데 게시글을 끌어오는 html 소스이면 조각 형태로 해야 하는데 전체코드 형태로 해두셨더라구요..? (왜죠?) 아무튼 api 통신을 통해서 값을 가져온 것을 처리하는 것이라 제가 그 이상의 추적은 어렵게 되었.. 근데 여기서 모바일만 해결 되느냐? 아뇨. 기존에 데스크탑 메인페이지에서 한 줄에 2개의 게시글이 들어가던 문제도 이렇게 해결됩니다. 즉, 이 메인 페이지의 악의 근원은 row-span-2와 col-span-2의 return의 문제였답니다~ 자, 개발이사님. 일하실 시간입니다.
2025.08.10
2
3
문제 사항. XSS 관련 보안 위험 서버에서 응답 되는 값들을 살펴보는 중 문제가 될 수 있는 사항을 발견함. X-XSS-Protection을 Value를 0으로 설정함. 이는 웹 브라우저에게 서버가 “이 사이트는 XSS 보호기능 끄세요.” 라고 지시한거임. 이건 XSS 보안관련 위험문제가 높음. 여기에 플러스로 더 위험한건 바로 게시글을 조회할때 발생하는 API 중 하나인 https://www.villain.city/api/auth/check 이거임. 왜? 여기에 반환되는 응답값에는 이전에 작성했던 개인정보가 여기서도 똑같이 표기되기 때문임. 여기서 필요한 것은 roles와 role, 그리고 block, black뿐임. 즉, 그 위에 있는 userId 외의 다른 개인정보를 서버에서는 반환하여선 안됨. XSS 프로 텍터가 꺼져있는 상태에 이게 js로 반환이 된다? 그러면 중간에 누군가가 이 응답 값을 가로 챌 수 있다는 것임. CKEditor를 사용하고 있는데 CKEditor도 필터링을 통해 HTML 소스 같은 것들을 표기하지 못하도록 기능을 구현해놓고 있지만, 하지만 무언가에 의해 필터링을 피해 입력할 수 있다면? 그 순간 api/auth/check를 통해 개인정보를 모두 취득할 수 있게 됨. script로 공격자 서버에다가 이 데이터를 넘기게 설정할 수 있으니까. 그러면 해킹을 직접적으로 당한 것이 아니라서 서버나 관리자도 이는 눈치 채지도 못할 것이고, 그러다 개인정보 털리면? 큰일나게 되는거임.. 그리고 어떤 api에서 개인정보를 반환합니까.. 저도 독학으로 프로그래밍 배웠지만 프로그램에서 사용자 정보 수정 외에는 사용자의 데이터에서 접근 할 수 있어야 하는 건 사용자의 ID만 접근 할 수 있어야 합니다. 또한, 설정 관련해서 Access-Control-Allow-Origin: * 이게 뭔지 아십니까? 어디서든 이 URL를 맘대로 조회할 수 있다는 뜻입니다. 그러면 무슨 문제가 있느냐.. 어디서든 API를 조회요청을 할 수 있고, 서버는 이 요청을 무시하지 않고 답변을 해준다는 것입니다. 즉, 지금 어떤 방식으로 auth 데이터를 수신요청하고 있는지는 아직 확인이 안되었지만 공격자가 사용자의 정보를 얻기 위해 전송되는 값을 알게 된다면 api요청을 통해 auth 데이터를 요청할 수 있고, 서버는 모든 주소를 허용했기 때문에 그 요청에 개인정보를 그대로 넘겨줄 수 있다는 뜻입니다.
2025.08.02
3
2
1 2 3 4 5 6 7 8 9
인텔 코어 울트라5
  • 종합
  • 뉴스/정보
  • 커뮤니티
  • 질문/토론