우선 인증 우회란?신원확인을 건너뛰어 로그인없이 접근할 수 있도록 하는 공격 그럼 권한(인가) 우회란?사용자가 권한이 없는 리소스에 접근할 수 있도록 하는 공격 둘 다 로그인 시스템이나 인증 과정에서 취약점을 악용하여 인증을 우회하고 민감한 정보나 기능에 접근할 수 있도록 함불완전한 인증 로직이나 취약한 세션관리를 악용하는 방식으로 발생함공격자는 이를 통해 관리자 권한, 비공개 데이터, 민감한 서비스 등에 접근할 수 있음 인증/권한우회를 하는 방법에는 총 7가지가 있음1. 입력값/파라미터 조작공격자가 요청 파라미터, 쿠키, 또는 폼 데이터 등을 변조하여 시스템이 이미 로그인된 사용자라고 잘못 인식하도록 만드는 기법- URL 파라미터 조작브라우저 주소창을 직접 수정예) @@@.com/view?id=1 을 ..

XSS란 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법이다.공격에 성공하면 사이트에 접속한 사용자는 삽입된 코드를 실행하게 되며,보통 의도치 않은 행동을 수행시키거나 쿠키나 세션 토큰 등의 민감한 정보를 탈취한다. XSS는 세가지의 방식이 있다.1. Reflected XSS : 사용자가 보낸 입력이 서버 응답에 반영되어 브라우저에서 스크립트가 실행되도록 하는 공격2. Stored XSS : 공격자가 입력한 악성 스크립트가 서버에 저장되고, 해당 데이터를 조회하는 사용자의 브라우저에서 실행되도록 하는 공격3. DOM-based XSS : 사용자 입력값이 클라이언트(JavaScript)에 의해 DOM에 삽입되면서 스크립트가 실행되는 공격 우선 JS는 잘 몰라서,, Reflected XSS와 St..

삭제는 너무너무 쉽고.. 간단하고.... 사랑스러웠는데수정은 진짜하면서 내가 이렇게 빡대가리였나 싶고,,, 사실 수정도 그냥 글이랑 내용만 수정하면 쉽지만파일이 들어가는 순간 지옥을 맛봤어요사실 아직도 정확히 이해 못한거같음;;글고 기존파일삭제에 체크하면 팝업창으로[새 파일 선택 시 기존 파일은 자동으로 삭제됩니다]이거 띄우고싶었는데 이건 자바스크립트라 그래서 패스... 기존 파일이 존재하면1. 기존 파일 삭제에 체크하거나 2. 다른 파일로 바꾸기 위해서는기존 파일을 DELETE 해줘야함 기존파일 삭제에 체크해서 DELETE하는거 까진 이해했음근데 다른 파일로 바꾸는게 진짜 개어려웠는데계속 UPDATE만 하려고하니까기존파일 삭제했는데 어떻게 UPDATE를 하지?UPDATE하려면 기존 file_id가 있어..

삭제는 쉬움.. [ delete.php ] [ deleteok.php ] 삭제는 너무너무 쉬웠어요...........................이제 무시무시한 수정이 기다리고있음

첨부파일을 누르면 파일이 저장된다파일 다운로드 기능이 제일제일 어려웠다흑흑 [ download.php ]Content-type : application/octet-stream파일의 콘텐츠유형을 알 수 없을 때 파일을 바이너리 형식(0과 1의 구조로 저장)으로 처리하도록 하는 것이 타입을 받은 브라우저는 파일을 렌더링하지 않고 강제로 다운로드하게 한다사용자가 업로드한 파일이 HTML, JS같은 파일이면 브라우저가 렌더링하면서 스크립트가 실행될 수 있기 때문에보안목적으로 넣는거라고 생각하면 됨 Content-Length : filesize전송될 파일의 총 바이트 크기를 나타내며 다운로드 진행률 표시가 가능하다! Content-Disposition : attachment무조건 다운로드하라는 의미이게 없으면PH..

이제 작성한 글을 조회하는 창을 만들어보쟈게시판 리스트에서 제목 누르면작성된 글을 볼 수 있는 기능!파일이 있으면 파일도 볼 수 있고!다운로드도 받을 수 있다!! [ view.php ]">게시판 제목 작성자 작성일 내용 파일 "> 글 목록'">수정하기'">삭제하기 file_upload 테이블과 board 테이블 조인해서 file_id가 같은 title, content 등 갖고오기 그리구 view 한번 할때마다 count +1 해서 조회수 UPDATE이것도 게시판과 마찬가지로 회원만 조회할 수 있도록 세션값이 없으면 index창으로 보내버렸다 그리고 본인이 아니면 수정, 삭제 버튼이 아예 안뜨게세션값과 작성자 일치 여부 확인!