[G4] 회원 다운로드 게시판에서 비회원일때 방화벽 작동할때 > 기술자료

• 목록
• 게시판 리스트 옵션
  • 검색

다운로드를 눌렀을 시 방화벽으로 차단되는 경우 uri값을 넘기는 부분에 .. 이 들어갔기 때문에 발생되는 문제입니다.

[uri "/gnuboard/bbs/login.php?url=..%2Fbbs%2Fdownload.php"]

uri부분에 .. 문자를 사용하는 것은 Directory Traversal 공격의 주요 패턴이기 때문에 웹방화벽에서 제거시 향후 문제의 소지가 많습니다.


1. config.php 코드의 기타 설정에 추가
$g4['real_bbs_path']       = "/" . $g4['bbs'];


2. bbs / download.php 의 23라인에서
        alert($alert_msg . "\\n\\n회원이시라면 로그인 후 이용해 보십시오.", "./login.php?wr_id=$wr_id&$qstr&url=".urlencode("$g4[bbs_path]/board.php?bo_table=$bo_table&wr_id=$wr_id"));

를 아래 내용으로 변경

        alert($alert_msg . "\\n\\n회원이시라면 로그인 후 이용해 보십시오.", "./login.php?wr_id=$wr_id&$qstr&url=".urlencode("$g4[real_bbs_path]/board.php?bo_table=$bo_table&wr_id=$wr_id"));