PHP 및 그누보드5 쿠키 하이젝킹 방지를 위한 HttpOnly 설정 방법

• 목록
• 스크랩

PHP 및 그누보드5 쿠키 하이젝킹 방지를 위한 HttpOnly 설정 방법

그누보드 운영자가 자바스크립트를 통한 쿠키 탈취 위험을 막고 세션 보안을 강화할 수 있도록, PHP 버전별 함수 설정과 그누보드5 common.php 파일 수정 방법을 구체적으로 안내합니다.

그누보드5 common.php 파일 수정 방법

그누보드5 환경에서는 common.php 파일 내의 세션 파라미터 설정 부분을 수정하여 HttpOnly를 적용할 수 있습니다. 설정 파일을 수정하기 전에 반드시 원본 파일을 백업해 두어야 합니다.

수정 코드

common.php 파일에서 아래와 같이 코드를 수정합니다.

// 수정 전
//session_set_cookie_params(0, '/');

// 수정 후
session_set_cookie_params(0, "/", G5_COOKIE_DOMAIN, false, true);

설정 적용 후 확인 방법

설정 적용 후 브라우저 개발자 도구를 통한 확인 절차는 Q4 (#Q4)를 참고하시기 바랍니다.

실패 시 복구 방법

설정 변경 후 사이트 접속 오류나 세션 유지 문제가 발생할 경우, 사전에 백업해 둔 원본 파일(common.php)을 복원하여 원래 상태로 되돌립니다.

PHP 5.x 이상 버전 SetCookie 함수의 HttpOnly 인자 설정 방법

PHP 5.x 이상 버전에서는 SetCookie 함수의 인자를 사용하여 HttpOnly 속성을 지정할 수 있습니다. 자바스크립트를 통한 쿠키 탈취 등 쿠키 하이젝킹 위험을 방지하기 위해 쿠키 생성 시 해당 인자를 추가합니다.

PHP 5.x 이상 예시 코드

SetCookie("auth_xxx", $user, 0, "/", ".makeshop.co.kr", false, true);

• SetCookie 함수의 일곱 번째 인자인 true를 통해 HttpOnly 속성을 활성화할 수 있습니다.

브라우저 개발자 도구를 통한 HttpOnly 설정 확인 방법

설정 적용 후 브라우저 개발자 도구를 사용하여 정상적으로 HttpOnly가 설정되었는지 확인할 수 있습니다.

1. 브라우저에서 대상 웹페이지를 엽니다.
2. F12 키를 눌러 개발자 도구를 실행합니다.
3. Application 탭(또는 저장소 관련 탭)을 클릭하여 쿠키 정보를 엽니다.
4. 테스트를 위해 기존 쿠키를 강제로 삭제한 뒤 웹페이지를 새로고침합니다.
5. 새로 생성된 세션 쿠키의 HttpOnly 항목에 체크가 되어 있는지 확인합니다.

설정 변경 후 오류 발생 시 복구 방법

PHP 및 그누보드5 설정 변경 후 사이트 접속 오류나 세션 유지 문제가 발생할 경우, 사전에 백업해 둔 원본 파일을 복원하여 원래 상태로 되돌려야 합니다.

복구 절차

• 사전에 백업해 둔 원본 파일인 common.php 또는 php.ini 파일을 확인합니다.
• 해당 원본 파일을 다시 업로드하거나 복원하여 원래 상태로 되돌립니다.

참고자료

기타 참고자료

• mercury-seed.com — PHP 및 그누보드5 쿠키 하이젝킹 방지를 위한 HttpOnly 설정 방법