| r86 vs r87 | ||
|---|---|---|
| ... | ... | |
| 23 | 23 | == 원인 == |
| 24 | 24 | 나무위키는 _cfuid[* 엄밀히 말하자면 클라우드플레어 쿠키이다.], honoka, kotori의 세 가지 종류의 쿠키를 사용하고 있다. 이 중 'honoka' 와 'kotori' 쿠키는 로그인에 사용되는 것[* 서버에서 사용자를 구별하는 세션 쿠키였다.]으로 이 쿠키를 탈취할 경우 쿠키 주인의 "로그인된 상태"를 탈취하게 되어 비밀번호를 모르더라도 탈취된 쿠키를 적용하여 다른 사람으로 로그인 된 상태가 된다. 사이트 납치도 앞에서 서술한 XSS 취약점을 이용하였다. |
| 25 | 25 | |
| 26 | 최고관리자 [[derCSyong]]이 제시한 대처 방법은 다음과 같다. | |
| 26 | 최고관리자 [[derCSyong]][* 현재 나무위키에서 영구차단.]이 제시한 대처 방법은 다음과 같다. | |
| 27 | 27 | >파악 끝났습니다. honoka 쿠키 또는 kotori 쿠키를 가져다 쓰는 것처럼 보이는데. |
| 28 | 28 | >1. 쿠키만 가져가는 것은 '비밀번호'가 탈취된 것은 아닙니다. |
| 29 | 29 | >2. (중요) 로그인된 것으로 인식하기 때문에 내 정보에서 '''이메일 변경[* 또한 비밀번호도 변경이 가능하다.]'''이 가능하고, 이렇게 되면 계정을 되찾을 방법이 사라집니다. |
| ... | ... |