M72X2/X2/bbs/password_lost2.php



<title>M72X2/X2/bbs/password_lost2.php</title>


<div class="header">M72X2/X2/bbs/password_lost2.php</div>
<pre>&lt;?php
include_once(&#039;./_common.php&#039;);
include_once(G5_CAPTCHA_PATH.&#039;/captcha.lib.php&#039;);
include_once(G5_LIB_PATH.&#039;/mailer.lib.php&#039;);

if ($is_member) {
    alert_close(&#039;이미 로그인중입니다.&#039;, G5_URL);
}

if (!chk_captcha()) {
    alert(&#039;자동등록방지 숫자가 틀렸습니다.&#039;);
}

$email = get_email_address(trim($_POST[&#039;mb_email&#039;]));

if (!$email)
    alert_close(&#039;메일주소 오류입니다.&#039;);

// OWASP 권장: 이메일 존재 여부와 무관하게 동일한 응답 메시지 사용
// (이메일 열거 공격 방지)
$generic_message = $email.&#039; 메일로 회원아이디와 비밀번호를 인증할 수 있는 메일이 발송 되었습니다.\\n\\n메일을 확인하여 주십시오.&#039;;

$sql = &quot; select count(*) as cnt from {$g5[&#039;member_table&#039;]} where mb_email = &#039;$email&#039; &quot;;
$row = sql_fetch($sql);
if ($row[&#039;cnt&#039;] &gt; 1) {
    // 시스템 데이터 무결성 이슈 - 운영자 로그에만 기록하고 사용자에겐 일반 메시지
    @error_log(&quot;[g5 password_lost2] Duplicate email detected: $email (count={$row[&#039;cnt&#039;]})&quot;);
    alert_close($generic_message);
}

$sql = &quot; select mb_no, mb_id, mb_name, mb_nick, mb_email, mb_datetime, mb_leave_date from {$g5[&#039;member_table&#039;]} where mb_email = &#039;$email&#039; &quot;;
$mb = sql_fetch($sql);

// 회원이 없거나 탈퇴했거나 관리자이면 메일 발송 없이 동일한 메시지로 응답
if (empty($mb[&#039;mb_id&#039;]) || $mb[&#039;mb_leave_date&#039;] || is_admin($mb[&#039;mb_id&#039;])) {
    alert_close($generic_message);
}

// 임시비밀번호 발급 (CSPRNG 사용)
$change_password = get_random_token_string(5);  // 10자리 hex (0-9, a-f)
$mb_lost_certify = get_encrypt_string($change_password);

// 어떠한 회원정보도 포함되지 않은 일회용 난수를 생성하여 인증에 사용 (CSPRNG 사용)
$mb_nonce = get_random_token_string(16);

// 임시비밀번호와 난수를 mb_lost_certify 필드에 저장
$sql = &quot; update {$g5[&#039;member_table&#039;]} set mb_lost_certify = &#039;$mb_nonce $mb_lost_certify&#039; where mb_id = &#039;{$mb[&#039;mb_id&#039;]}&#039; &quot;;
sql_query($sql);

// 인증 링크 생성
$href = G5_BBS_URL.&#039;/password_lost_certify.php?mb_no=&#039;.$mb[&#039;mb_no&#039;].&#039;&amp;amp;mb_nonce=&#039;.$mb_nonce;

$subject = &quot;[&quot;.$config[&#039;cf_title&#039;].&quot;] 요청하신 회원정보 찾기 안내 메일입니다.&quot;;

$content = &quot;&quot;;

$content .= &#039;&lt;div style=&quot;margin:30px auto;width:600px;border:10px solid #f7f7f7&quot;&gt;&#039;;
$content .= &#039;&lt;div style=&quot;border:1px solid #dedede&quot;&gt;&#039;;
$content .= &#039;&lt;h1 style=&quot;padding:30px 30px 0;background:#f7f7f7;color:#555;font-size:1.4em&quot;&gt;&#039;;
$content .= &#039;회원정보 찾기 안내&#039;;
$content .= &#039;&lt;/h1&gt;&#039;;
$content .= &#039;&lt;span style=&quot;display:block;padding:10px 30px 30px;background:#f7f7f7;text-align:right&quot;&gt;&#039;;
$content .= &#039;&lt;a href=&quot;&#039;.G5_URL.&#039;&quot; target=&quot;_blank&quot;&gt;&#039;.$config[&#039;cf_title&#039;].&#039;&lt;/a&gt;&#039;;
$content .= &#039;&lt;/span&gt;&#039;;
$content .= &#039;&lt;p style=&quot;margin:20px 0 0;padding:30px 30px 30px;border-bottom:1px solid #eee;line-height:1.7em&quot;&gt;&#039;;
$content .= addslashes($mb[&#039;mb_name&#039;]).&quot; (&quot;.addslashes($mb[&#039;mb_nick&#039;]).&quot;)&quot;.&quot; 회원님은 &quot;.G5_TIME_YMDHIS.&quot; 에 회원정보 찾기 요청을 하셨습니다.&lt;br&gt;&quot;;
$content .= &#039;저희 사이트는 관리자라도 회원님의 비밀번호를 알 수 없기 때문에, 비밀번호를 알려드리는 대신 새로운 비밀번호를 생성하여 안내 해드리고 있습니다.&lt;br&gt;&#039;;
$content .= &#039;아래에서 변경될 비밀번호를 확인하신 후, &lt;span style=&quot;color:#ff3061&quot;&gt;&lt;strong&gt;비밀번호 변경&lt;/strong&gt; 링크를 클릭 하십시오.&lt;/span&gt;&lt;br&gt;&#039;;
$content .= &#039;비밀번호가 변경되었다는 인증 메세지가 출력되면, 홈페이지에서 회원아이디와 변경된 비밀번호를 입력하시고 로그인 하십시오.&lt;br&gt;&#039;;
$content .= &#039;로그인 후에는 정보수정 메뉴에서 새로운 비밀번호로 변경해 주십시오.&#039;;
$content .= &#039;&lt;/p&gt;&#039;;
$content .= &#039;&lt;p style=&quot;margin:0;padding:30px 30px 30px;border-bottom:1px solid #eee;line-height:1.7em&quot;&gt;&#039;;
$content .= &#039;&lt;span style=&quot;display:inline-block;width:100px&quot;&gt;회원아이디&lt;/span&gt; &#039;.$mb[&#039;mb_id&#039;].&#039;&lt;br&gt;&#039;;
$content .= &#039;&lt;span style=&quot;display:inline-block;width:100px&quot;&gt;변경될 비밀번호&lt;/span&gt; &lt;strong style=&quot;color:#ff3061&quot;&gt;&#039;.$change_password.&#039;&lt;/strong&gt;&#039;;
$content .= &#039;&lt;/p&gt;&#039;;
$content .= &#039;&lt;a href=&quot;&#039;.$href.&#039;&quot; target=&quot;_blank&quot; style=&quot;display:block;padding:30px 0;background:#484848;color:#fff;text-decoration:none;text-align:center&quot;&gt;비밀번호 변경&lt;/a&gt;&#039;;
$content .= &#039;&lt;/div&gt;&#039;;
$content .= &#039;&lt;/div&gt;&#039;;

mailer($config[&#039;cf_admin_email_name&#039;], $config[&#039;cf_admin_email&#039;], $mb[&#039;mb_email&#039;], $subject, $content, 1);

run_event(&#039;password_lost2_after&#039;, $mb, $mb_nonce, $mb_lost_certify);

alert_close($generic_message);</pre>