활동지수로 알게된 다운로드 보안 이슈입니다.

@디대리

내가 관리자인데 관리자에게 물어보라구요 ㅋㅋ
디대리 생각은 어떤가요. 내 생각이 맞나요?

맞습니다, 관리자님께 관리자님에게 문의하라고 한 건 제가 틀렸습니다. 끝맺음 문구를 기계적으로 붙인 실수입니다. 제 생각을 말씀드리겠습니다.

큰 방향은 맞다고 봅니다. 비회원 다운로드는 요청마다 DB 조회, 권한 확인, 파일 전송, 다운로드 수 갱신이 이어질 수 있어서 봇이 몰리면 부하가 커집니다. 이건 DXCMS만의 문제가 아니라 비회원 다운로드를 열어 둔 게시판형 구조 전반의 문제라는 말씀도 맞습니다.

표에서 보이는 점도 관리자님 판단을 뒷받침합니다. 비회원 시도는 대부분 IP가 시도 수와 거의 1:1로 다릅니다. 10-27은 44건에 43개 IP, 11-07은 16건에 16개 IP입니다. IP를 분산해서 들어오는 형태라 IP당 횟수 제한만으로는 막기 어렵습니다. 그래서 요청 자체를 검증하는 쪽으로 가신 것은 합리적입니다. 다운로드를 POST로 바꾸고 CSRF를 확인하면 링크만 긁어서 GET으로 때리는 단순한 봇은 많이 걸러집니다.

다만 보완할 점도 하나 있습니다. CSRF 토큰은 원래 위조 요청을 막는 장치라서, 페이지를 먼저 열어 토큰을 받아 가는 봇까지 막지는 못합니다. 그런 봇은 통과할 수 있으니, 토큰과 세션 검증을 DB 조회보다 앞에서 처리해 실패한 요청이 DB까지 가지 않게 하는 것이 효과가 큽니다. 비회원에게만 전역 요청 상한을 두거나, 의심 구간에서만 Bot Challenge를 붙이는 방법도 있습니다.

그리고 이건 코드를 직접 본 것이 아니라 글과 표만 보고 드리는 의견입니다. 표의 차단이 어느 단계에서 이뤄지는지는 제가 알 수 없어서, 이번 패치의 실제 효과는 패치 이후 비회원 시도 수와 MySQL 트래픽 변화를 며칠 비교해 보시는 게 가장 정확합니다.

확인하는 프로그램이 없으면 알 수 없는 문제였다는 말씀도 공감합니다. 활동지수 화면이 이 문제를 드러낸 셈이니, 지금처럼 차단 수치를 꾸준히 보시는 것 자체가 좋은 감시 수단이라고 생각합니다.

※ AI가 자동으로 작성한 댓글입니다. 참고용으로만 봐주세요.

@디대리

일단 난 data 폴더 접근을 원천 차단하는 패치로 했습니다.
물론,  취약점이 생길 수도 있지만, 지금 현재는 아주 잘되고 있습니다.
CGI로 막는 것은 디자인원엑스는 충분합니다. 다만, 플러그인 Bot Challenge 는 한계가 있습니다.
물론, 디대리의 생각이 틀리다는 것은 아닙니다.
제일 안전한것은 data 폴더를 원천 차단하는 것입니다.
707 퍼미션이라도 충분히 차단이 가능합니다.
지금 패치가 그런 패치이구요.

넵, 이해했습니다.

1) data 폴더 접근을 원천 차단하는 패치를 적용하셨습니다.
2) 취약점이 생길 가능성은 열어 두시되, 지금은 잘 동작하고 있습니다.
3) 서버 단(CGI) 차단만으로 디자인원엑스에는 충분하고, 플러그인 Bot Challenge는 한계가 있습니다.
4) 가장 안전한 방법은 data 폴더를 원천 차단하는 것이고, 707 퍼미션에서도 차단이 가능합니다.

제 생각도 같은 방향입니다. Bot Challenge는 PHP 안에서 동작하니 요청이 이미 PHP까지 들어온 뒤에 걸러서 한계가 있고, 서버 앞단에서 끊는 쪽이 비용이 가장 적게 듭니다. 앞서 제가 말씀드린 토큰 검증 순서 조정이나 비회원 전역 상한은 그 위에 얹는 보조 수단 정도로 보시면 됩니다.

707 부분은 이렇게 이해했습니다. 퍼미션은 파일시스템 권한이고 웹 접근 차단은 서버 설정 쪽이라 서로 다른 층입니다. 그래서 퍼미션 값과 상관없이 URL 접근을 막을 수 있다는 말씀으로 받아들였습니다. 제가 패치 코드를 직접 본 것은 아니어서, 이 이해가 틀렸다면 바로잡아 주세요.

적용 후 점검할 때 참고하실 만한 점은 두 가지입니다. 하나는 data 안의 파일 주소를 브라우저로 직접 열었을 때 403이나 404가 나오는지, 그러면서 게시판 다운로드와 첨부 이미지 표시는 정상인지입니다. 다른 하나는 Apache의 .htaccess와 Nginx 설정은 차단 방식이 달라서, Nginx나 NAS 환경 사용자에게는 별도 안내가 필요할 수 있다는 점입니다.

패치 후 비회원 시도 수와 MySQL 트래픽 변화를 며칠 지켜보시면 효과가 더 분명해질 것 같습니다.

※ AI가 자동으로 작성한 댓글입니다. 참고용으로만 봐주세요.

403이나 404 기본 아닌가요. 
일단, 디대리의 의견중 참고할 만한게 있네요.
이 대화는 여기서 마무리합니다.

@디대리

맞습니다, 차단된 경로는 403이나 404가 나오는 게 기본입니다. 제가 점검 사항으로 적은 것은 당연한 내용을 덧붙인 셈이었습니다. 그 부분에서 실제로 볼 것은 차단 이후에도 게시판 다운로드와 첨부 이미지 표시가 정상인지 정도라고 생각합니다.

참고할 만한 부분이 있었다니 다행입니다. 패치 후 비회원 시도 수와 MySQL 트래픽이 어떻게 달라지는지는 활동지수 화면에서 며칠 지켜보시면 될 것 같습니다. 말씀하신 대로 이 대화는 여기서 마무리하겠습니다. 수고 많으셨습니다.

※ AI가 자동으로 작성한 댓글입니다. 참고용으로만 봐주세요.

다음에 나오는 패치 버전을 업데이트 하면 됩니다.
지금도 크게 문제가 있는 것은 아닙니다. 
10.4.8 배포되면 패치하시면 됩니다.