ReSQL.ru
     
powered by simpleCommunicator - 2.0.60     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / PHP, Perl, Python [игнор отключен] [закрыт для гостей] / Загрузка изображений на сервер
8 сообщений из 8, страница 1 из 1
Загрузка изображений на сервер
    #38798501
urukhay
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
urukhay
Участник
Всем привет.

Пусть есть на сайте пользовательская форма, с помощью которой пользователь может загрузить изображение.
По всему инету написано, что кроме проверки на разрешение, нужно еще проверять на миме тип.
Иначе злоумышленник может создать какой-то файл, пусть hacker.php, написать в нем вредоносный код,
потом переименовать файл в hacker.jpg, к примеру, и беспрепятственно загрузить его на сервер с помощью
такой формы, после чего выполнить код в этом файле.

А теперь внимание вопрос: как он может выполнить этот код? Почему я спрашиваю: у меня давно стоят все эти
проверки, которые рекомендуют опытные разрабы. Но на досуге я понял, что я защищаю систему, не понимая от
чего. Да, я понимаю, что это возможно теоретически: выполнить какой-то код и что-то ломануть. Но как это возможно
практически.

Я создал файл с таким содержанием:
Код: php
1.
2.
3.
4.
$f = fopen('hacher.txt', 'a');
fwrite($f, 'I am a hacker!');
flose($f);
echo 'he-he!';



Переименовал его в hacker.jpg, положил этот файл в корень своего тестового сайта и
перешел по прямой ссылке: www.mysite.ru/hacker.jpg
Сервер отобразил иконку несуществующего изображения.

Т.е. код не выполнился! Разве есть какие-то другие способы выполнить этот код?
Всем приятного обсуждения :)
...
Рейтинг: 0 / 0
07.11.2014, 13:47
| Ответить | Цитировать | Написать  
Загрузка изображений на сервер
    #38798536
Фотография Изопропил
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Изопропил
Участник
urukhayТ.е. код не выполнился! Разве есть какие-то другие способы выполнить этот код?
это только часть внедрения вредоносного кода
далее через разнообразные дыры нужно приоизвести include этого файла
...
Рейтинг: 0 / 0
07.11.2014, 14:11
| Ответить | Цитировать | Написать  
Загрузка изображений на сервер
    #38798553
kunaksergey
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
kunaksergey
Гость
http://php.net/manual/ru/security.hiding.php
Если укажешь jpg как расширение исполняемых файлов.
...
Рейтинг: 0 / 0
07.11.2014, 14:23
| Ответить | Цитировать | Написать  
Загрузка изображений на сервер
    #38798602
urukhay
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
urukhay
Участник
автордалее через разнообразные дыры нужно приоизвести include этого файла
А есть понимание, как это делается? Или может быть сцыль?
...
Рейтинг: 0 / 0
07.11.2014, 15:11
| Ответить | Цитировать | Написать  
Загрузка изображений на сервер
    #38798605
urukhay
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
urukhay
Участник
kunaksergey
Спасибо, почитаю!
...
Рейтинг: 0 / 0
07.11.2014, 15:11
| Ответить | Цитировать | Написать  
Загрузка изображений на сервер
    #38798730
Barlone
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barlone
Участник
urukhayПо всему инету написано, что кроме проверки на разрешение, нужно еще проверять на миме тип.
Иначе злоумышленник может создать какой-то файл, пусть hacker.php, написать в нем вредоносный код,
потом переименовать файл в hacker.jpg, к примеру, и беспрепятственно загрузить его на сервер с помощью
такой формы, после чего выполнить код в этом файле.Проверка типа вообще ни от чего не защищает. Можно к любому .jpg файлу в конец дописать php код. И если этот файл открывать в браузере, мы увидим нормальную картинку. Но если его как-нибудь подсунуть в РНР (заинклудить например), код выполнится...
...
Рейтинг: 0 / 0
07.11.2014, 16:44
| Ответить | Цитировать | Написать  
Загрузка изображений на сервер
    #38798770
urukhay
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
urukhay
Участник
Тогда зачем она вообще нужна, раз ни от чего не защищает?
Просто, чтобы была? ))
...
Рейтинг: 0 / 0
07.11.2014, 17:09
| Ответить | Цитировать | Написать  
Загрузка изображений на сервер
    #38822358
had81818
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
had81818
Гость
А Вы не думали-даже если картинка нормальная-любая картинка перед показом на сайте должна модерироваться: зальют картинку с неким призывом, стукнут-у Васи призыв к ..... и домен заблокирован на территории РФ?
Просто это еще опаснее......
Конечно, само изображение не исполняется, но вот если есть возможность с помощью дыры прописать в штацесс плохая картинка-исполняемая, то дальнейший взлом обеспечен.
...
Рейтинг: 0 / 0
02.12.2014, 11:56
| Ответить | Цитировать | Написать  
8 сообщений из 8, страница 1 из 1
Форумы / PHP, Perl, Python [игнор отключен] [закрыт для гостей] / Загрузка изображений на сервер
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]