За последние 24 часа нас посетил 63001 программист и 1744 робота. Сейчас ищет 891 программист ...

Троян в картинке

Тема в разделе "PHP для новичков", создана пользователем dobs, 14 ноя 2008.

  1. dobs

    dobs Активный пользователь

    С нами с:
    23 дек 2006
    Сообщения:
    145
    Симпатии:
    0
    Возможен ли взлом сайта через загрузку файла (для загрузки я разрешил загружать только картинки) но если кул хакер к примеру напишет какого то Трояна и назовет его к примеру image.jpg соответственно у него выйдет загрузить данный файл т.к. скрипт подумает что то картинка...

    - Вопрос будет ли таким образом идти заражение юзеров которые будут смотреть такую картинку?
    - Как можно не пропустить заливку подобного?
     
  2. Vladson

    Vladson Старожил

    С нами с:
    4 фев 2006
    Сообщения:
    4.040
    Симпатии:
    26
    Адрес:
    Estonia, Tallinn
    Только в IE прокатит и то на старом (сейчас вроде эту дыру заделали) причём только JS (на серверной стороне проблем не будет)
     
  3. dobs

    dobs Активный пользователь

    С нами с:
    23 дек 2006
    Сообщения:
    145
    Симпатии:
    0
    выйдет залить файл или заразить юзера уточните плиз
     
  4. Mr.M.I.T.

    Mr.M.I.T. Старожил

    С нами с:
    28 янв 2008
    Сообщения:
    4.586
    Симпатии:
    1
    Адрес:
    у тебя канфетка?
     
  5. dobs

    dobs Активный пользователь

    С нами с:
    23 дек 2006
    Сообщения:
    145
    Симпатии:
    0
  6. Kreker

    Kreker Старожил

    С нами с:
    8 апр 2007
    Сообщения:
    5.433
    Симпатии:
    0
    [:|||:]
    Cейчас актуально использование нуль-байта.
     
  7. dobs

    dobs Активный пользователь

    С нами с:
    23 дек 2006
    Сообщения:
    145
    Симпатии:
    0
    по подробней если можно...
     
  8. antonn

    antonn Активный пользователь

    С нами с:
    10 июн 2007
    Сообщения:
    2.996
    Симпатии:
    0
    заражения не будет, зато на другой адрес можно отправить все куки с домена сайта.
     
  9. QQQ

    QQQ Активный пользователь

    С нами с:
    21 ноя 2007
    Сообщения:
    538
    Симпатии:
    0
    хули тупим? а проверить картинку на то, что она картинка, а не правильное расширешие просто имеет, не судьба?
     
  10. Dagdamor

    Dagdamor Активный пользователь

    С нами с:
    4 фев 2006
    Сообщения:
    2.095
    Симпатии:
    1
    Адрес:
    Барнаул
    QQQ
    Как проверять собрался, умненький ты наш? По первым байтам? Это не поможет.
    Тот же IE может трактовать файл как HTML, если в нем есть <html> сигнатура в любом месте файла. Независимо от расширения и MIME-типа, естессно.
    Давно пора... игнорировать MIME-тип с сервера - это было сильно.
     
  11. free-bits

    free-bits Активный пользователь

    С нами с:
    13 ноя 2008
    Сообщения:
    296
    Симпатии:
    0
    Адрес:
    г. Красноярск
    А если складывать все загруженное в недоступную из вне директорию? Чтобы если это скрипт он не смог запуситься.
     
  12. QQQ

    QQQ Активный пользователь

    С нами с:
    21 ноя 2007
    Сообщения:
    538
    Симпатии:
    0
    ладно. много ли ты настоящих jpeg'ов видел за свою жизнь, содеражащих в себе последовательность байт <html + <script?
     
  13. Mr.M.I.T.

    Mr.M.I.T. Старожил

    С нами с:
    28 янв 2008
    Сообщения:
    4.586
    Симпатии:
    1
    Адрес:
    у тебя канфетка?
    QQQ
    Это даже в КМБ есть....
    кстати, ещё можно через flash вроде, но я не вчитывался
     
  14. dobs

    dobs Активный пользователь

    С нами с:
    23 дек 2006
    Сообщения:
    145
    Симпатии:
    0
    Он и так не сможет запустится (если в картинке код)... (Главное не допустить заливку пхп)
     
  15. dAllonE

    dAllonE Guest

    Собственно на днях поднимались на Хабре уязвимости при закачке изображений и как с ними бороться.
    Может быть поможет.

    Первая часть.
    Вторая часть.
     
  16. Sergey89

    Sergey89 Активный пользователь

    С нами с:
    4 янв 2007
    Сообщения:
    4.796
    Симпатии:
    0
    Ну да. Если писать кривой код, то и не таких дыр можно наделать.
     
  17. sylex

    sylex Активный пользователь

    С нами с:
    9 ноя 2008
    Сообщения:
    625
    Симпатии:
    0
    Адрес:
    Омск
    Ставить расширение файла самому просто надо :)
     
  18. free-bits

    free-bits Активный пользователь

    С нами с:
    13 ноя 2008
    Сообщения:
    296
    Симпатии:
    0
    Адрес:
    г. Красноярск
    Т.е. если файл с левым расширением (.php), то поменять на .gif?
     
  19. sylex

    sylex Активный пользователь

    С нами с:
    9 ноя 2008
    Сообщения:
    625
    Симпатии:
    0
    Адрес:
    Омск
    Нет, расширение файла давать по MIME-типу, и только те расширения, которые ты разрешил. Как дополнительную проверку, можно сделать, действительно ли это рисунок, но не вижу необходимости. Т.к. главное чтоб любой загружаемый файл не мог быть запущен как скрипт... Пусть он хоть какой битый будет.
     
  20. free-bits

    free-bits Активный пользователь

    С нами с:
    13 ноя 2008
    Сообщения:
    296
    Симпатии:
    0
    Адрес:
    г. Красноярск
    А ну так согласен=)