Intro

gnuboard에서 SNS를 통한 로그인 및 회원가입 기능이 존재합니다.

이 기능을 사용하기 위해서는 관리자가 필요한 SNS 서비스에 신청하여 얻은 API key를 입력해야 합니다.

API key는 관리자 페이지에서 수정 및 열람이 가능하지만, 비회원이 이를 탈취할 수 있습니다.

Setting

위 상황을 재현하기 위해 다음과 같은 설정이 되어 있어야 합니다.

• 관리자는 "소셜 로그인" 기능을 On 해야 합니다.
• 관리자는 적어도 한개의 소셜 서비스로부터 API key를 발급 받아 관리자 페이지에 등록해야 합니다.

PoC

1. 비회원은 SNS 로그인 기능을 사용합니다.
   

2. 비회원은 위 과정에서 SNS에 로그인만 하면 됩니다. 굳이 gnuboard에 회원가입 할 필요가 없습니다.

3. 이후, 본인의 PHPSESSID 쿠키 값을 확인합니다.
   

4. 위에서 얻은 쿠키 값을 아래 URL로 접근합니다.
   http://target.com/data/session/sess_[YOUR-SESSION-VALUE]

5. 아래 사진처럼 social API key를 획득할 수 있습니다.
   

6. 현재 Naver, Twitter, Kakao 확인한 결과 모두 social API key를 획득할 수 있습니다.