이미지와 같이 검색기능 등을 사용할때 검색 목록은 이상없이 출력되는데, 검색필드에 나오는 글자가 깨져나오는 경우가 있었다.
$_POST 를 찍어봐도 이상이 없고, 쿼리는 이상이 없이 처리 된걸 보니 값이 넘어갈때는 이상이 없는데,
페이지에서 뭔가 해당 변수에 대한 조작이 일어나는 것 같아서 찾아보니
common.php 파일에서
if (isset($stx)) { // search text (검색어)
$stx = mysql_real_escape_string($stx);
$qstr .= '&stx=' . urlencode($stx);
}
위와같이 검색어에 대한 인젝션 공격 대응으로 mysql_real_escape_string() 을 사용한다.
다만, 이 함수가 여러 환경에서 테스트 해본 것은 아니지만, euc-kr 로 셋팅된 서버에서 utf-8 로 DB와 SITE를 운영할때 문제가 되는 것 같다.
UTF-8로 셋팅된 서버에서는 동일한 소스로 아무런 문제가 없었다.
비슷한 문제를 찾고계신분이 있으시면 도움이 되셨으면 좋겠습니다.
$_POST 를 찍어봐도 이상이 없고, 쿼리는 이상이 없이 처리 된걸 보니 값이 넘어갈때는 이상이 없는데,
페이지에서 뭔가 해당 변수에 대한 조작이 일어나는 것 같아서 찾아보니
common.php 파일에서
if (isset($stx)) { // search text (검색어)
$stx = mysql_real_escape_string($stx);
$qstr .= '&stx=' . urlencode($stx);
}
위와같이 검색어에 대한 인젝션 공격 대응으로 mysql_real_escape_string() 을 사용한다.
다만, 이 함수가 여러 환경에서 테스트 해본 것은 아니지만, euc-kr 로 셋팅된 서버에서 utf-8 로 DB와 SITE를 운영할때 문제가 되는 것 같다.
UTF-8로 셋팅된 서버에서는 동일한 소스로 아무런 문제가 없었다.
비슷한 문제를 찾고계신분이 있으시면 도움이 되셨으면 좋겠습니다.
댓글 2개
게시글 목록
| 번호 | 제목 |
|---|---|
| 33785 | |
| 33781 | |
| 33776 | |
| 33761 | |
| 33753 | |
| 33751 | |
| 33749 | |
| 33731 | |
| 33706 | |
| 33694 | |
| 33690 | |
| 33683 | |
| 33674 | |
| 33672 | |
| 33662 | |
| 33655 | |
| 33608 | |
| 33605 | |
| 33587 | |
| 33581 |
댓글 작성
댓글을 작성하시려면 로그인이 필요합니다.
로그인하기