diff --git a/adm/admin.lib.php b/adm/admin.lib.php
index 58336b576..8bc521e2d 100644
--- a/adm/admin.lib.php
+++ b/adm/admin.lib.php
@@ -617,13 +617,12 @@ if (!$member['mb_id']) {
}
}
-// 관리자의 아이피, 브라우저와 다르다면 세션을 끊고 관리자에게 메일을 보낸다.
-$admin_key = md5($member['mb_datetime'] . get_real_client_ip() . $_SERVER['HTTP_USER_AGENT']);
-if (get_session('ss_mb_key') !== $admin_key) {
-
+// 관리자의 클라이언트를 검증하여 일치하지 않으면 세션을 끊고 관리자에게 메일을 보낸다.
+if (!verify_mb_key($member)) {
session_destroy();
include_once G5_LIB_PATH . '/mailer.lib.php';
+
// 메일 알림
mailer($member['mb_nick'], $member['mb_email'], $member['mb_email'], 'XSS 공격 알림', $_SERVER['REMOTE_ADDR'] . ' 아이피로 XSS 공격이 있었습니다.
관리자 권한을 탈취하려는 접근이므로 주의하시기 바랍니다.
해당 아이피는 차단하시고 의심되는 게시물이 있는지 확인하시기 바랍니다.' . G5_URL, 0);
diff --git a/adm/index.php b/adm/index.php
index 2ca6feacc..cd6eeebff 100644
--- a/adm/index.php
+++ b/adm/index.php
@@ -3,8 +3,10 @@ $sub_menu = '100000';
require_once './_common.php';
@require_once './safe_check.php';
+
if (function_exists('social_log_file_delete')) {
- social_log_file_delete(86400); //소셜로그인 디버그 파일 24시간 지난것은 삭제
+ //소셜로그인 디버그 파일 24시간 지난것은 삭제
+ social_log_file_delete(86400);
}
$g5['title'] = '관리자메인';
@@ -14,8 +16,12 @@ $new_member_rows = 5;
$new_point_rows = 5;
$new_write_rows = 5;
-if (! auth_check_menu($auth, '200100', 'r', true)) {
+$addtional_content_before = run_replace('adm_index_addtional_content_before', '', $is_admin, $auth, $member);
+if ($addtional_content_before) {
+ echo $addtional_content_before;
+}
+if (!auth_check_menu($auth, '200100', 'r', true)) {
$sql_common = " from {$g5['member_table']} ";
$sql_search = " where (1) ";
@@ -31,7 +37,7 @@ if (! auth_check_menu($auth, '200100', 'r', true)) {
$sql_order = " order by {$sst} {$sod} ";
- $sql = " select count(*) as cnt {$sql_common} {$sql_search} {$sql_order} ";
+ $sql = " SELECT count(*) as cnt {$sql_common} {$sql_search} {$sql_order} ";
$row = sql_fetch($sql);
$total_count = $row['cnt'];
@@ -41,11 +47,11 @@ if (! auth_check_menu($auth, '200100', 'r', true)) {
$leave_count = $row['cnt'];
// 차단회원수
- $sql = " select count(*) as cnt {$sql_common} {$sql_search} and mb_intercept_date <> '' {$sql_order} ";
+ $sql = " SELECT count(*) as cnt {$sql_common} {$sql_search} and mb_intercept_date <> '' {$sql_order} ";
$row = sql_fetch($sql);
$intercept_count = $row['cnt'];
- $sql = " select * {$sql_common} {$sql_search} {$sql_order} limit {$new_member_rows} ";
+ $sql = " SELECT * {$sql_common} {$sql_search} {$sql_order} limit {$new_member_rows} ";
$result = sql_query($sql);
$colspan = 12;
@@ -78,7 +84,7 @@ if (! auth_check_menu($auth, '200100', 'r', true)) {
+ ?>
|
|
@@ -115,7 +121,7 @@ if (! auth_check_menu($auth, '200100', 'r', true)) {
|
|
- 자료가 없습니다. | ';
@@ -128,18 +134,17 @@ if (! auth_check_menu($auth, '200100', 'r', true)) {
-
-
+ ?>
|
@@ -223,7 +228,7 @@ if (! auth_check_menu($auth, '300100', 'r', true)) {
|
- 자료가 없습니다. | ';
@@ -239,19 +244,19 @@ if (! auth_check_menu($auth, '300100', 'r', true)) {
';
$link2 = '';
}
- ?>
+ ?>
|
@@ -307,7 +312,7 @@ if (! auth_check_menu($auth, '200200', 'r', true)) {
|
-
-$path, 'domain'=>$domain, 'secure'=>$secure, 'httponly'=>$httponly), $cookie_name);
+
+ if (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] != 'off') {
+ $c['secure'] = true;
+ }
setcookie(md5($cookie_name), base64_encode($value), G5_SERVER_TIME + $expire, $c['path'], $c['domain'], $c['secure'], $c['httponly']);
}
@@ -2266,6 +2270,53 @@ function check_token()
return true;
}
+/**
+ * 브라우저 검증을 위한 세션 반환 및 재생성
+ * @param array $member 로그인 된 회원의 정보. 가입일시(mb_datetime)를 반드시 포함해야 한다.
+ * @param bool $regenerate true 이면 재생성
+ * @return string
+ */
+function ss_mb_key($member, $regenerate = false)
+{
+ $client_key = ($regenerate) ? null : get_cookie('mb_client_key');
+
+ if (!$client_key) {
+ $client_key = get_random_token_string(16);
+ set_cookie('mb_client_key', $client_key, G5_SERVER_TIME * -1);
+ }
+
+ $mb_key = md5($member['mb_datetime'] . $client_key) . md5($_SERVER['HTTP_USER_AGENT']);
+
+ return $mb_key;
+}
+
+/**
+ * 회원의 클라이언트 검증
+ * @param array $member 로그인 된 회원의 정보. 가입일시(mb_datetime)를 반드시 포함해야 한다.
+ * @return bool
+ */
+function verify_mb_key($member)
+{
+ $mb_key = ss_mb_key($member);
+ $verified = get_session('ss_mb_key') === $mb_key;
+
+ if (!$verified) {
+ ss_mb_key($member, true);
+ }
+
+ return $verified;
+}
+
+/**
+ * 회원의 클라이언트 검증 키 생성
+ * 클라이언트 키를 다시 생성하여 생성된 키는 `ss_mb_key` 세션에 저장됨
+ * @param array $member 로그인 된 회원의 정보. 가입일시(mb_datetime)를 반드시 포함해야 한다.
+ */
+function generate_mb_key($member)
+{
+ $mb_key = ss_mb_key($member, true);
+ set_session('ss_mb_key', $mb_key);
+}
// 문자열에 utf8 문자가 들어 있는지 검사하는 함수
// 코드 : http://in2.php.net/manual/en/function.mb-check-encoding.php#95289
diff --git a/mobile/skin/member/basic/login.skin.php b/mobile/skin/member/basic/login.skin.php
index 67aca531a..14631fd8c 100644
--- a/mobile/skin/member/basic/login.skin.php
+++ b/mobile/skin/member/basic/login.skin.php
@@ -33,7 +33,7 @@ add_stylesheet('',
회원로그인 안내