오픈마켓+경매 되는 솔루션을 보고 있는데,
php보안권고 설정인 register_globals=off 와 allow_url_fopen=off 설정을 하면 솔루션을 사용 할수 없네요.
여기 솔루션 대부분이 그런듯합니다.
저 두가지 취약점과 아파치서버 보안 취약점을 이용해 백도어 업로드 가능합니다. 그 백도어로 디비정보 캐내갈수 있고요. 물론 쉽게 가능한건 아니지만, 가능은 합니다.
저부분의 설정은 날 잡고 신경써서 작업하면 충분히 할수 있는 작업인듯한데... 이렇게 좀 규모가 있는 솔루션 개발 업체도 보안권고사항을 무시한채 솔루션을 판매하는걸 보니.. 안타깝네요..
관리자 (2010-05-13 13:57:23)
안녕하세요?
CMG몰은 오랜동안 개발하여 오랜동안 판매해온 솔루션입니다. 최근 보안사항 부분에 대해서 인력의 부족이란 변명을 드리며..
register_globals=on 부분은 호스팅 또는 서버보안부분에서 설정이 가능한 부분입니다.
이 부분은 약식변수 사용의 문제가 대부분 입니다.
allow_url_fopen=on 부분은.. 2010년6월 APM 업그레이드 및 allow_url_fopen=off 로 제공 예정 입니다.
CMG호스팅에서는 ini_set 부분을 허용으로 사용중입니다.
물론 그 부분을 사용안해도 되도록 할순 있습니다만..
솔루션이 많은 관계로 바로 개선은 어렵습니다.
이 부분은 폼메서드 부분의 문제가 제일 많습니다.
잘아시겠지만.. get 으로는 폼제출하는 양의 문제가 제한적 입니다만 그동안 디버깅 결과 몇군데 안되는것 같으므로 이번에 업데이트 시도 예정입니다.
신현종(cmgkorea)
