여러분 안녕하세요
내 인스턴스에 대해 침투 테스트를 수행했습니다. 테스트 결과, XSS 공격을 통해 탈취될 수 있는 비보안 쿠키로 인해 위험이 있다고 나타났습니다. nginx 설정에 한 줄의 코드를 추가하여 이 위험을 방지하고 싶습니다. 하지만 도커 설치를 사용하고 있어 설정 파일을 찾을 수가 없습니다.
nginx 설정 파일을 어디서 찾을 수 있는지 힌트를 주실 분이 있을까요? /etc/nginx/site-available 디렉터리에는 nginx가 사용하는 discourse 설정이 없습니다.
어떤 힌트든 감사히 받겠습니다.
감사합니다.
//neph
침투 테스트의 전체 결과를 공유해 주시겠어요?
Discourse 쿠키 양쪽 모두에 secure 플래그가 설정되어 있으므로, 테스트를 잘못 실행하고 있거나 보고서를 잘못 해석하고 있는 것 같습니다:
이것은 단순히 로그인 흐름 동안만 사용되며, 사용자가 어디로 이동하려 했는지를 저장하여 로그인 후에 해당 위치로 보낼 수 있도록 하는 destination_url 쿠키입니다. EmberJS 앱에서 라우팅을 위해 읽기 때문에 HTTP_ONLY 플래그를 포함할 수 없습니다.
Discourse에서 사용되는 모든 쿠키에 대한 자세한 내용은 (Deprecated) List of cookies used by Discourse 확인하실 수 있습니다.
