빌런 TOP 20
일간 l 주간 l 월간
1
[인플루언서/BJ] 넷플릭스 불량연애 출연자 과거 논란
2
[성인정보] 현재 성인 웹툰 추천 티어표
3
[이슈/논란] [충격] 유명 런닝화 호카 총판 대표 폭력, 하청업체 관계자 폐건물로 불러 폭행
4
[인공지능] 구글, AI 프로 요금제 59% 할인
5
[PC게임] 란스 시리즈 - 스팀판 트레일러
6
[컴퓨터] MSI 엔비디아 RTX 5090 그래픽카드, 16핀 전원 커넥터 실화로 손상
7
[설문조사] [빌런 설문조사] 가장 가지고 싶은 30만원 이하 27인치 QHD 게이밍 모니터는?
8
[컴퓨터] AMD 9950X3D2 CPU 벤치마크 결과 유출
9
[컴퓨터] 메모리 공급 부족 사태 마이크로소프트 경영진 격분, 구글은 구매 책임자 해고
10
[모바일] 삼성전자, 독자 GPU 개발 성공...AI 생태계 확장
11
[게임] 2026년 게임시장 판을 흔들 출시작
12
[가전] 삼성 프리스타일+ 휴대용 프로젝터, CES 2026 첫 공개 예정
13
[컴퓨터] 삼성전자, ‘갤럭시 북6 시리즈’ 공개
14
[이벤트] 1월 베스트 빌런 댓글러를 찾습니다.
15
[컴퓨터] D램 메모리 제조사, 고객 ‘선별 공급’ 단계로 진입
16
[컴퓨터] AMD 차세대 RDNA 5 라데온 GPU, 2027년 중반 출시 전망
17
[PC게임] 한국게임사 다큐 [세이브 더 게임] 예고편
18
[컴퓨터] LG 차세대 5K 울트라기어 게이밍 디스플레이
19
[PC게임] [2025 BEST 게임 어워드] 제가 올 한해 제일 재밌게 했던 게임은...
20
[당첨/발표] [발표] 2025 BEST 게임 어워드 이벤트 당첨자 발표
인텔 코어 울트라7
문제 사항. XSS 관련 보안 위험 서버에서 응답 되는 값들을 살펴보는 중 문제가 될 수 있는 사항을 발견함. X-XSS-Protection을 Value를 0으로 설정함. 이는 웹 브라우저에게 서버가 “이 사이트는 XSS 보호기능 끄세요.” 라고 지시한거임. 이건 XSS 보안관련 위험문제가 높음. 여기에 플러스로 더 위험한건 바로 게시글을 조회할때 발생하는 API 중 하나인 https://www.villain.city/api/auth/check 이거임. 왜? 여기에 반환되는 응답값에는 이전에 작성했던 개인정보가 여기서도 똑같이 표기되기 때문임. 여기서 필요한 것은 roles와 role, 그리고 block, black뿐임. 즉, 그 위에 있는 userId 외의 다른 개인정보를 서버에서는 반환하여선 안됨. XSS 프로 텍터가 꺼져있는 상태에 이게 js로 반환이 된다? 그러면 중간에 누군가가 이 응답 값을 가로 챌 수 있다는 것임. CKEditor를 사용하고 있는데 CKEditor도 필터링을 통해 HTML 소스 같은 것들을 표기하지 못하도록 기능을 구현해놓고 있지만, 하지만 무언가에 의해 필터링을 피해 입력할 수 있다면? 그 순간 api/auth/check를 통해 개인정보를 모두 취득할 수 있게 됨. script로 공격자 서버에다가 이 데이터를 넘기게 설정할 수 있으니까. 그러면 해킹을 직접적으로 당한 것이 아니라서 서버나 관리자도 이는 눈치 채지도 못할 것이고, 그러다 개인정보 털리면? 큰일나게 되는거임.. 그리고 어떤 api에서 개인정보를 반환합니까.. 저도 독학으로 프로그래밍 배웠지만 프로그램에서 사용자 정보 수정 외에는 사용자의 데이터에서 접근 할 수 있어야 하는 건 사용자의 ID만 접근 할 수 있어야 합니다. 또한, 설정 관련해서 Access-Control-Allow-Origin: * 이게 뭔지 아십니까? 어디서든 이 URL를 맘대로 조회할 수 있다는 뜻입니다. 그러면 무슨 문제가 있느냐.. 어디서든 API를 조회요청을 할 수 있고, 서버는 이 요청을 무시하지 않고 답변을 해준다는 것입니다. 즉, 지금 어떤 방식으로 auth 데이터를 수신요청하고 있는지는 아직 확인이 안되었지만 공격자가 사용자의 정보를 얻기 위해 전송되는 값을 알게 된다면 api요청을 통해 auth 데이터를 요청할 수 있고, 서버는 모든 주소를 허용했기 때문에 그 요청에 개인정보를 그대로 넘겨줄 수 있다는 뜻입니다.
2025.08.02
3
2
배그 장비병이 데스크셋업으로 변질되었습니다. 40대 중반, 배그를 좋아하는 두딸 아빠 태나아빠입니다., 몇년째 100따리를 못벗어 나는 실력임에도 배그에 빠져 살았습니다. 실력탓이 아닌 장비탓을 하며 이것저것 바꿈질을 하다가 어느순간 데스크셋업이라는 영역에 들어서고 이제는 배그 보다 데스크테리어에 빠져 살고 있습니다. 20대 시절 잠시 PC 튜닝과 수냉 오버클럭에 빠졌었는데.. 한 두해 도 못가서 바뀌는 차세대 CPU와 글픽카드로 늘 만족할 수 없고, 빠르게 감가만 생기는 덧없음의 영역인 것을 망각한채.. 이 가성비 없는 비슷한 맥락의 취미에 마흔 중반이 넘어 다시 빠질 줄 예상하지 못했습니다. 다른 영역에서는 엄청나게 가성비를 따지고, 목적이 분명한 소비를 강조하는데 나만의 PC공간이라는 영역에서는 맥 없이 지갑을 열고 맙니다. 하루하루 반복되는 무료한 일상에서 배 나온 중년 직장인 가장의 유일한 취미가 데스크 주변을 꾸미는 것이라니.. 참 보잘 것 없는 인생입니다만 가정을 위해 최소한의 용돈으로 아끼고 아끼며 하나하나 장비를 장만하다 보니 고작 기계덩어리에 감성을 부여하며 더더욱 애착이 커지나 봅니다. 주객이 전도되어 이제는 배그를 일주일에 한두번 할까 말까 하지만 퇴근후 나를 기다리는 나만의 데스크셋업 공간을 뿌듯하게 바라보며 자기 만족에 빠져 하루하루 살고 있습니다. 현재 가진 여력으로 즐길 수 있는 취미가 있다는 게 감사하다는 마음으로 카드 할부가 끝나면 또 무엇을 바꿀까 하는 설래임으로 살아갑니다. 인생에 소소한 도파민의 행복을 채울 수 있는 취미가 또 언제 변덕을 부릴지 모르지만 데스크셋업 하나에 인생의 의미를 부여하며 뻘 글 마무리 합니다.. (뭔가 첫 글인데 똥닦다 만 것처럼 찝찝하게 끝내내요.) dosiman.kr
2025.08.01
14
3
조텍
  • 종합
  • 뉴스/정보
  • 커뮤니티
  • 질문/토론