Полная Версия: GD шаблон загрузки фотографий
| Цитата (BaNru @ 20.05.2014 - 20:57) |
| Многие разработчики много что не делают, а потом у них на сайте куча новых и необычных файлов появляется. Ты не делаешь - другие сделают за тебя ))) |
Ты имеешь в виду что её можно активизировать из вне?
как страшно жить.
Kopipaster, ты проверил, как работает мой скрипт с моей картинкой?
_____________
* Хэлп по PHP
* Описалово по JavaScript
* Хэлп и СУБД для PostgreSQL
* Обучаю PHP, JS, вёрстке. Интерактивно и качественно. За разумные деньги.
* "накапливаю умение телепатии" (С) и "гуглю за ваш счет" (С)
_____________
* Хэлп по PHP
* Описалово по JavaScript
* Хэлп и СУБД для PostgreSQL
* Обучаю PHP, JS, вёрстке. Интерактивно и качественно. За разумные деньги.
* "накапливаю умение телепатии" (С) и "гуглю за ваш счет" (С)
| Цитата (Kopipaster @ 20.05.2014 - 21:00) |
| "Конструкция include предназначена для включения файлов в код сценария PHP во время исполнения сценария PHP." Кому прийдёт в голову подключить так картинку? |
История этого хака тянется с бородатых времен, когда на PHP писали так:
<html>
<head>
</head>
<body>
<header></header>
<?php
$page = $_GET['page'];
include $page;
?>
<footer></footer>
</body>
</html>
Злоумышленник передавал в адресной строке /index.php?page=image.jpg и вуаля!
_____________
Чатик в телеге
| Цитата (sergeiss @ 20.05.2014 - 21:09) |
| Kopipaster, ты проверил, как работает мой скрипт с моей картинкой? |
Да только тоже без инклюдов. Я как то опасаюсь. Это уже что то не здоровое картинки иклюдить. А так картинка выводится глюков и артефактов на странице нет.
| Цитата (Kopipaster @ 20.05.2014 - 21:02) |
| Ты имеешь в виду что её можно активизировать из вне? |
Ты уверен что в твоих скриптах нет LFI уязвимости? Если да, то картинка абсолютно безопасна для сервера
| Цитата (Kopipaster @ 20.05.2014 - 21:18) |
| Да только тоже без инклюдов. |
Ну так я не понял - инклудил мою картинку или нет? (там ничего опасного нет, только вывод алертом JS одного сообщения).
| Цитата (Kopipaster @ 20.05.2014 - 21:18) |
| Это уже что то не здоровое картинки иклюдить. А так картинка выводится глюков и артефактов на странице нет. |
Так ты видел сообщение джаваскриптовое? Или ты инклуд не делал?
Кстати. Переименуй butt2.gif в butt2.php, замени его в скрипте - получишь тот же результат. Использовать ПХП как картинку - нормально (например, динамические картинки так делаются), а инклудить будешь ПХП. Уже меньше будет психологического отторжения
Но с тем же результатом.
_____________
* Хэлп по PHP
* Описалово по JavaScript
* Хэлп и СУБД для PostgreSQL
* Обучаю PHP, JS, вёрстке. Интерактивно и качественно. За разумные деньги.
* "накапливаю умение телепатии" (С) и "гуглю за ваш счет" (С)
Ну вот поставил денвер на стареньком аппарате посмотрел ваши картинки через инклюд. Да вижу что не просто картинка. JS работает. Но его же надо как то запускать. Сейчас пойду читать про LFI уязвимости.
Kopipaster
кстати в IE6 была XSS уязвимость связанная с картинками. Конечно этот браузер уже практически канул в лету, но где гарантия что подобная дырка не откроется в новых браузерах?
кстати в IE6 была XSS уязвимость связанная с картинками. Конечно этот браузер уже практически канул в лету, но где гарантия что подобная дырка не откроется в новых браузерах?
| Цитата (Kopipaster @ 20.05.2014 - 21:39) |
| Сейчас пойду читать про LFI уязвимости. |
Таки убедили
А где тут наш борец с этой уязвимостью Медведь? У него получилось удалить заразу из файла?
_____________
* Хэлп по PHP
* Описалово по JavaScript
* Хэлп и СУБД для PostgreSQL
* Обучаю PHP, JS, вёрстке. Интерактивно и качественно. За разумные деньги.
* "накапливаю умение телепатии" (С) и "гуглю за ваш счет" (С)
| Цитата (Kopipaster @ 20.05.2014 - 21:39) |
| Сейчас пойду читать про LFI |
что там читать? brevis в последнем посте её продемонстрировал
| Цитата (brevis @ 20.05.2014 - 21:13) |
| <html> <head></head> <body> <header></header> <?php $page = $_GET['page']; include $page; ?> <footer></footer></body> </html> |
Порыл я тут немного нет. Ничем эти картинки-скрипты не страшны. Конечно если самому их по дурости не запустить. Во всех остальных случаях если хакер смог запустить картинку он и без картинки уже внутрях. Видимо как в той истории, в лес ходить нельзя, потому что там медведи. Только вот медведи уже вымерли.
| Цитата (Kopipaster @ 20.05.2014 - 23:45) |
| Только вот медведи уже вымерли. |
Не-не-не!!! Нашему Медведю нельзя вымирать, он еще не протестил свой скрипт
Kopipaster, тут речь больше о том, что если ты знаешь о возможности такой проблемы, то ты её легко обойдешь. Но надо учесть, что может так получиться, что при твоем заходе куда-нибудь окажется "инфицированная" картинка... Это я просто алерт() сделал. А можно ж много чего сделать на JS, например, украсть айди сессии и передать куда-нибудь.
_____________
* Хэлп по PHP
* Описалово по JavaScript
* Хэлп и СУБД для PostgreSQL
* Обучаю PHP, JS, вёрстке. Интерактивно и качественно. За разумные деньги.
* "накапливаю умение телепатии" (С) и "гуглю за ваш счет" (С)
| Цитата (sergeiss @ 20.05.2014 - 23:53) |
| Kopipaster, тут речь больше о том, что если ты знаешь о возможности такой проблемы, то ты её легко обойдешь. Но надо учесть, что может так получиться, что при твоем заходе куда-нибудь окажется "инфицированная" картинка... Это я просто алерт() сделал. А можно ж много чего сделать на JS, например, украсть айди сессии и передать куда-нибудь. |
Да я то понимаю. Если есть дыра то она есть. Просто я не мог поверить что картинка может сама по себе запустить какой то скрипт. Это же не экзешник. Конечно когда ты написал сделай инклюд я заподозрил не ладное)). И браузер не может картинку стартануть тоже. По этому я и полез в сеть искать варианты запуска картинного скрипта из вне. По всему выходит что если злоумышленник может стартануть скрипт то и картинка для взлома ему уже не нужна.
| Цитата (Kopipaster @ 21.05.2014 - 00:02) |
| По всему выходит что если злоумышленник может стартануть скрипт то и картинка для взлома ему уже не нужна. |
Не совсем так. Тут в теме есть примеры (в т.ч. по ссылкам), что при неправильном построении скрипта может так получиться, что злоумышленник может "стартануть" картинку, не имея полноценного доступа. Но как только он запустил свой скрипт, то уже тогда он может получить доступ. То есть, такой файл может стать отмычкой, которой будет вскрыт сайт.
_____________
* Хэлп по PHP
* Описалово по JavaScript
* Хэлп и СУБД для PostgreSQL
* Обучаю PHP, JS, вёрстке. Интерактивно и качественно. За разумные деньги.
* "накапливаю умение телепатии" (С) и "гуглю за ваш счет" (С)
Ну пример брэйвиса я тоже видел. Просто даже не рассматривал, гет от ввода лабуды даже дети научились закрывать.
Здесь расположена полная версия этой страницы.