не так давно узнал что в тег <img> в src можно не только файл картинки писать, а например php-скрипт который генерирует картинку.. Так фот у меня возник вопрос в плане безопасности.. а если пользователь будет загружать файл картинки, он же может выбрать файл скрипта и тогда может случиться мало чего приятного... Как такого можно избежать? Можно проверять расширение файла.. Вот интересно, а если он php расширение сменит например на jpg, то скрипт выполнится?

Чего именно? И почему нельзя загружать файл скрипта?


какой скоипт?

ты не мог бы свои фантазии описывать более конкретно? Не в виде "сменить шило на мыло", а с конкретными именами файлов и видимыми опаснстями.

ОК.. Есть форма для загрузки картинок, после загрузки эти картинки отображаются в <IMG>.. Вот я и предположил, если загрузить не картинку(*.jpg, *.gif, *.png) а php-скрипт(*.php), так вот по идее он выполнится, а это уже дыра в безопасности.. Чтобы этого не произошло, можно проверять расширение загружаемых файлов, т.е. файлы *.php НЕ загружать.. Но тут тоже можно попробовать обойти это... Написать скрипт, сохранить с расширением как *.jpg, тогда файл проверку на расширение пройдет и загрузится на сервер.. А вот при отображении, если в этом файле не картинка а скрипт, выполнится ли этот скрипт???

Скрипт с расширением жпг выполнится как скрипт, только если в настройке сервера прописано обрабатывать  файлы жпг как php-скрипты. Короче говоря, не выполнится.

Другое дело, что содержимое загружаемых изображений(и вообще любого отображаемого в браузере фала) хорошо бы проверить на наличие html-кода, при отображении некоторых видов изображений в браузере выполняется этот код, в том числе и яваскрипт, а это уже возможность XSS. Пример из IP.B:

ок, подскажите тогда пожалуйста, какие файлы не следует загружать... Я для себя составлю списочек  Пока он такой:

.php
.phtml
.phtm
.php3
.html
.htm
.pl

надо составлять список не тех файлов, которые нельзя загружать, а тех, которые можно.

GeneralElectric, похоже, не шутка. Есть у IE такая подлая черта - "MIME sniff". Пример Sannisа, судя по всему, ссылается вот на это.


Абсолютно верно (например, для картинок - .gif, .png, .jpg, .jpeg, можно еще .bmp). Для пущей уверенности можно на всякий случай проверять их ф-цией Sannisа. 

ок, тогда вот так:

.jpg
.jpeg
.gif
.bmp
.png

есть еще какие-нибудь расширения картинок отображаемые <IMG>?

зависит от браузера.
к примеру, текущий вариант FireFox умеет работать с SVG, некоторые браузеры работают с VML(Internet Explorer). Не делать же полный список всех возможных графических типов? Проще определить, что "я, мол, поддерживаю только то-то, то-то и то-то; остальное идет лесом".

Нет, вполне серьёзно. Мало кто может сфабриковать картинку для такой уязвимости, но пренебрегать ей не стоит.

Это сообщение отредактировал(а) Sannis - 28.1.2008, 00:54

Sannis, SelenIT, спасибо за интересную информацию

Sannis, кстати, я тут задумался: а как можно использовать эту уязвимость? Скрипт в картинке ведь сработает, только если вызвать ее напрямую (в крайнем случае, через iframe/object), со стандартным <img src="..."> ничего страшного не грозит. Единственное, что приходит на ум - это сделать какую-нибудь пакость от имени авторизованного юзера (вроде такого, причем предложенная там защита по рефереру в этом случае как раз не поможет). Но такой случай, имхо, сам по себе довольно экзотичен, к тому же вскользь упомянутое там же "железное" решение (с уникальным идентификатором формы в сессии) не позволит и этого...

Но вообще, конечно, приведенный код (как и само поведение IE, правда) отдает каким-то шаманством. Ну почему '<a href=...' заставляет картинку отображаться как html, а '<a id=... href=...' - уже нет? Кто знает, нет ли еще подобных "волшебных" комбинаций?..

меня по-поводу шаманства преследует такая мысль:

походу, разработчики часто создают некий продукт, а впоследствии при проверке его свойств описывают в инструкциях не запланированные задачи и методы его работы, а полученные. то бишь описание по факту

(как при производстве памяти: штампуют стандартно 1024Мб, битых 300Мб, они дорезают до стандарта в 512 - вот и результат)

отсюда и проблемы в разнице стандартов

п.с. шутка, хотя кто его знает...

SelenIT, довольно просто. http://www.securitylab.ru/contest/291564.php, как раз годичной давности.