Jump to content

Вирусы в картинках


Recommended Posts

Вроде появлялся не так давно вирус какой то, который вшивался в картинки или загружался на сайт в картинке или как то так, или мне приснилось?

Вопрос к тому, что если это так, то может ли пользователь при создании скажем поста, загрузить с фронтенда такую вирусную картинку?

Link to post
Share on other sites

Есть вопрос? Задай его профессиональным веб-мастерам, SEO и другим специалистам!

  • Модератор
Цитата

Вроде появлялся не так давно вирус какой то, который вшивался в картинки или загружался на сайт в картинке или как то так, или мне приснилось?

Можно php в jpg переименовать (для шифрования) и вызывать на сервере. Можно прятать куски чего-то там в коде картинки и с чем-то там смешивать. Но чтобы картинкой что-то там поломать - сомнительно.

Link to post
Share on other sites
3 минуты назад, files сказал:

Можно php в jpg переименовать (для шифрования) и вызывать на сервере. Можно прятать куски чего-то там в коде картинки и с чем-то там смешивать. Но чтобы картинкой что-то там поломать - сомнительно.

Относительно недавно была статья про эти вирусы-картинки вроде на хакере, но не уверен. Постараюсь завтра найти.

Хорошо, если переименовываем php или js в jpeg, загружаем, выполняем. Имея нужный скрипт теоретически можно заразить любой сайт хоть через форму комментариев, так? Как быть? А если у меня фронтенд, который позволяет прикреплять любые документы, так вообще беда тогда. Т.к. этот и множество других форумов еще не взломаны, значит есть какие то решения?!  

Link to post
Share on other sites
34 минуты назад, petroff сказал:

Относительно недавно была статья про эти вирусы-картинки вроде на хакере, но не уверен. Постараюсь завтра найти.

Хорошо, если переименовываем php или js в jpeg, загружаем, выполняем. Имея нужный скрипт теоретически можно заразить любой сайт хоть через форму комментариев, так? Как быть? А если у меня фронтенд, который позволяет прикреплять любые документы, так вообще беда тогда. Т.к. этот и множество других форумов еще не взломаны, значит есть какие то решения?!  

Ставите запрет на выполнение скриптов в папке /uploads и радуетесь

Link to post
Share on other sites
7 минут назад, Beauty сказал:

Ставите запрет на выполнение скриптов в папке /uploads и радуетесь

Ну и как это сделать если php/js переименован в другой формат

Link to post
Share on other sites
  • Модератор

При загрузке проверяется тип документа, загрузить фальшивую фотографию в реальных условиях - не так просто. Даже если и загрузили, нужны ещё условия, чтобы код заработал.

Link to post
Share on other sites
12 часа назад, petroff сказал:

Вроде появлялся не так давно вирус какой то, который вшивался в картинки или загружался на сайт в картинке или как то так, или мне приснилось?

Вопрос к тому, что если это так, то может ли пользователь при создании скажем поста, загрузить с фронтенда такую вирусную картинку?

Не то что не так давно, а очень давно. Самый просто способ вшить вредонос в exif, соответственно при приёме изображений нужно удалять exif. Ну и права на все файлы с директориями 644.

 

 

Link to post
Share on other sites
11 час назад, files сказал:

Можно php в jpg переименовать (для шифрования) и вызывать на сервере. Можно прятать куски чего-то там в коде картинки и с чем-то там смешивать. Но чтобы картинкой что-то там поломать - сомнительно.

 

11 час назад, petroff сказал:

Относительно недавно была статья про эти вирусы-картинки вроде на хакере, но не уверен. Постараюсь завтра найти

Статью не нашел, зато инструкций "как сделать фото с вирусом внутри" полно :D На серче нашел несколько похожих тем. В общем, если движок не самопись, то скорее всего загружаемые файлы проверяются

Link to post
Share on other sites
  • Модератор
Цитата

В общем, если движок не самопись, то скорее всего загружаемые файлы проверяются

Естественно, при загрузке из формы любого файла должен проверятся mime-type, соответствие расширению и т.д. - если речь идет о сапомописах. Все эти защиты реализованы практически во всех движках.

Link to post
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

  • Recently Browsing   0 members

    No registered users viewing this page.

×
×
  • Create New...