php에서 이것도 취약점이 될까요? (파일 생성)

Question

홈페이지를 하나 호스팅 하고있습니다. 얼마전부터 주기적으로 이상한 파일들이 FTP에 생기고 있는데추측하기론, 저희한테 메시지(메일)을 전송 할 수 있는 섹션을 하나 만들어서 글을 쓰면 phpMailer, smtp를 통해서 메일을 전송할 수 있게 해뒀는데 여길 통해서 자꾸 해킹을 당하는것 같습니다. 검색해보니 PHPMailer에 취약점도 다수 있는 것 같아서 글을 쓰면 그냥 서버에 .txt 로 저장되게 해서 단순 열람만 할 수 있게 하면 어떨지 생각중입니다. var target &#61; document.getElementById('submit'); target.disabled &#61; true; var xhr &#61; new XMLHttpRequest(); xhr.open('POST', 'save_input.php', true); xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded'); xhr.onreadystatechange &#61; function () { if (xhr.readyState &#61;&#61;&#61; 4 && xhr.status &#61;&#61;&#61; 200) { console.log(xhr.responseText); }else{ console.log(xhr.responseText); console.log(xhr.status); } }; xhr.send('name&#61;' &#43; name &#43; '&email&#61;' &#43; email &#43; '&content&#61;' &#43; content);위 코드 처럼 작성해서 이름, 회신받을 이메일, 내용을 서버에 텍스트로 저장하기만 해도 이쪽을 통해서공격받을 수 있나요?

allinux · Answer

name, email, content 의 변수는 파일에 적재전 vaildatation 해야 합니다.그리고 위의 변수에 이상한 문자 혹은 저장이 불가능한 상황을 발생시킬 수 있는 무언가가 발생시 fclose 를 호출 못할 수 있습니다. 즉 기본적 사항인데 변수의 vaildation 과 예외처리를 잘 해야 합니다.

skrevolve · Answer

기본적으로 네트워크 보안부터 구성하세요. open api처럼 열어두시면 뭘 올려놔도 봇들이 어택들어옵니다. 특히 php는 더더욱 인젝션 엄청 많이 들어오구요

비정규분포 · Answer

어? 저거 지금 rate limiting 안해놓으면 서버 다운시킬 수 있다

풍월상신(가니메디안) · Answer

honey pot 만드세요.사람이라면 빠지지 않는 꿀단지....hidden 을 css 또는 script 로 감추고,input[name=honeypot] 에 밸류가 담겨서 서밋이 되면 꿀벌레로 판단하고 ignore..한걸음 더 ...input[name=honeypot] 에 focus() 되었을 때, 기록을 추가헤서, 이 case 에서도 ignore..

코끼리마리오 · Answer

php는 점유율 높아서 다 한번씩 찔러보고 가거든요코드보니까 그냥 쓸 수있게 되어있는데 csrf 토큰 개념으로 토큰 인증추가하세요

php에서 이것도 취약점이 될까요? (파일 생성)

5개의 답변

기술 목록