커뮤니티 TOP 20
일간 l 주간 l 월간
조텍 프래그마타 게임 번들
커뮤니티
글쓰기 앞서 5090에 제가 당첨된다면 미리 컴퓨터 완본체를 빌런분들중 한분에게 나눔을 할것을 약속합니다. 또한 해당 완본체의 경우 제가 5090이 당첨되어 완본체나눔을 진행하여 당첨자분에게 택배배송시 파손위험성이 있어, 다들 하드웨어커뮤로 인지하고 직접조립이 가능하다고 예상되고, 택배의경우 부품을 해체하여 보내며, 직거래시에만 완본체상태로 드릴예정입니다. 사실 이 글을 쓰는 건 이번이 2번째입니다. 장시간 글을 쓰다보면 로그아웃이 자동으로 되더군요. 그게 이번에는 고쳐질지 바라며, 글이 쓴게 날라가지 않길 바랍니다. 일단 부품명부터 소개해야겠죠. CPU: 14600KF (제가 기존에 잘쓰던 씨퓨입니다.) 쿨러: RC1900 ARGB 화이트 정품 2025년산 (제 뒤에서 굴러다니는 풀박스상태 ㅎ) 보드: B660i 스트릭스 게이밍 WIFI (풀박스로 있는 a/s기간은 모르는..ㅎㅎ) GPU: 4070Ti (풀박스 상태이며 a/s도 남아있는 써멀재도포도 이번년도에받은ㅎㅎㅎ) SSD: 삼성 512GB MLC 프로제품 혹은 삼성 980 PRO 2TB 둘중 하나 반응이좋으면 후자로..ㅎ 파워: 900W 80+plus 인증 정격파워 (애도풀박스 a/s도 있는 ㅎ) 케이스: M-CUBE 화이트 (애는 풀박스고 아직 박스도 안깐상태) 보시듯 7월27일날 시켜서 도착한지 일주일도안된 박스도 안깐 상태입니다. 조립과정은 천천히 오늘이될지 다음주가될지는 모르지만, 천천히 할예정입니다. 5090 당첨자발표하기전에는 조립을하겟죠. ㅎㅎ
2025.08.03
40
7
문제 사항. XSS 관련 보안 위험 서버에서 응답 되는 값들을 살펴보는 중 문제가 될 수 있는 사항을 발견함. X-XSS-Protection을 Value를 0으로 설정함. 이는 웹 브라우저에게 서버가 “이 사이트는 XSS 보호기능 끄세요.” 라고 지시한거임. 이건 XSS 보안관련 위험문제가 높음. 여기에 플러스로 더 위험한건 바로 게시글을 조회할때 발생하는 API 중 하나인 https://www.villain.city/api/auth/check 이거임. 왜? 여기에 반환되는 응답값에는 이전에 작성했던 개인정보가 여기서도 똑같이 표기되기 때문임. 여기서 필요한 것은 roles와 role, 그리고 block, black뿐임. 즉, 그 위에 있는 userId 외의 다른 개인정보를 서버에서는 반환하여선 안됨. XSS 프로 텍터가 꺼져있는 상태에 이게 js로 반환이 된다? 그러면 중간에 누군가가 이 응답 값을 가로 챌 수 있다는 것임. CKEditor를 사용하고 있는데 CKEditor도 필터링을 통해 HTML 소스 같은 것들을 표기하지 못하도록 기능을 구현해놓고 있지만, 하지만 무언가에 의해 필터링을 피해 입력할 수 있다면? 그 순간 api/auth/check를 통해 개인정보를 모두 취득할 수 있게 됨. script로 공격자 서버에다가 이 데이터를 넘기게 설정할 수 있으니까. 그러면 해킹을 직접적으로 당한 것이 아니라서 서버나 관리자도 이는 눈치 채지도 못할 것이고, 그러다 개인정보 털리면? 큰일나게 되는거임.. 그리고 어떤 api에서 개인정보를 반환합니까.. 저도 독학으로 프로그래밍 배웠지만 프로그램에서 사용자 정보 수정 외에는 사용자의 데이터에서 접근 할 수 있어야 하는 건 사용자의 ID만 접근 할 수 있어야 합니다. 또한, 설정 관련해서 Access-Control-Allow-Origin: * 이게 뭔지 아십니까? 어디서든 이 URL를 맘대로 조회할 수 있다는 뜻입니다. 그러면 무슨 문제가 있느냐.. 어디서든 API를 조회요청을 할 수 있고, 서버는 이 요청을 무시하지 않고 답변을 해준다는 것입니다. 즉, 지금 어떤 방식으로 auth 데이터를 수신요청하고 있는지는 아직 확인이 안되었지만 공격자가 사용자의 정보를 얻기 위해 전송되는 값을 알게 된다면 api요청을 통해 auth 데이터를 요청할 수 있고, 서버는 모든 주소를 허용했기 때문에 그 요청에 개인정보를 그대로 넘겨줄 수 있다는 뜻입니다.
2025.08.02
3
2
조텍 프래그마타 번들
  • 종합
  • 뉴스/정보
  • 커뮤니티
  • 질문/토론