与未知内容图片:危险的浏览器?

比方说,我允许用户连接到任何他们喜欢的图像。 该链接将被检查进行语法更正,逸出等,然后在插入的<img src="..."/>标记。

是否有任何已知的安全漏洞,例如通过别人链接到“evil.example.com/evil.jpg”,并evil.jpg包含将因浏览器漏洞或类似的东西来执行一些代码?

(让我们忽略CSRF攻击-它必须足够了,我将只允许具有典型的图像文件后缀的网址。)

--------------解决方案-------------

在图像文件的安全隐患不时此起彼伏。 下面是一个例子:http://articles.techrepublic.com.com/5100-22_11-5388621.html?tag=nl.e019。 这是一篇旧文,所以很明显,这些东西都被滚来滚去了一段时间。

虽然这是不可能肯定地说,事情总是安全的/永远安全的,到目前为止,这听起来像的风险已经相对较低,并通过图像浏览器厂商都在打补丁很快。 IMO最好的测试就是你怎么经常听到发生的实际问题。 这种威胁载体一直是一个已知的可能性多年,但还没有真正普及。 鉴于在多大程度上人们在公共论坛链接的图像,我希望它成为一个大问题很快,如果这是一个现实的某种攻击。

有一个JPEG缓冲区溢出前一段时间。 此外,你必须要考虑谁实际上包含的代码,这样你就不会执行代码的图像。

是的,这可能是一个问题。 有相当多的漏洞通过使用浏览器或操作系统的图像渲染代码中的漏洞已知的工作。 包括远程执行漏洞。 它可能不是最简单的缺陷来利用,但它是一个definitly关注。

这种脆弱性的一个例子:http://www.securityfocus.com/bid/14282/discuss(但你可以找到吨的其他同类型的漏洞)。

我想我还记得有很高的知名度的网站有正是这种漏洞的利用这样的问题。 的广告图像是从一些第三方广告提供者显示,并且该图像没有被选中。 1000的用户受到损害的......不能找到这个故事了......对不起。

因此,有潜在的缓冲区溢出与处理不受信任的数据,但是你得到它。 此外,如果你插入网址的形式不可信数据到您的网页那么有XSS漏洞的风险。 不过,我想你想知道为什么浏览器其标记为一个问题:

关闭我的头顶:

  • 我相信,引用信息在这种情况下,仍然发送。 即使你永远不要和以往任何时候都不会使用URL重写进行会话,你还在公开信息,这在以前的机密chris_l:是的,我只是做了一个快速测试-浏览器(FF 3.5)发送Referer头。
  • 你不能确保返回的图像数据不会被误导。 错误的文本上的按钮,例如。 或者在更大的图像,欺骗的说明,说。
  • 图像大小可以改变布局。 图像加载甚至可以推迟到在关键时刻移动页面chris_l:好点! 我应该始终设置宽度和高度(可以由服务器来决定的,当用户发送的图像-将只要图像没有改变......更好的创意工作)
  • 图像可以用于类似Ajax的功能chris_l:请扩展这一点-这是如何工作的?
  • 浏览器会标志的问题与您的网站,隐藏其他问题和调节用户接受松弛的安全实践chris_l:这绝对是一个重要的问题,当网站使用HTTPS。

更新:隔音错了!

你还必须考虑,那饼干(这意味着sessionIDs)也被发送到图像所在的服务器。 因此,在另一台服务器获取你的会话ID。 如果图像实际上包含PHP代码也能偷的SessionID:

例如,你有:

<img src="http://example.com/somepic.jpg alt="" />

在http://example.com的服务器有一个的.htaccess文件说以下内容:

RewriteRule ^somepic\.jpg$ evilscript.php

那么PIC实际上是一个PHP文件,生成的图像,而且还做了一些邪恶的东西,比如会话窃取或任何...

分类:安全 时间:2012-01-01 人气:0
分享到:

相关文章

  • 问题网页上有IE浏览器的安全性从JavaScript打开 2012-07-23

    我在JBOSS运行在Tomcat中有两个Web应用程序(上下文)在其上运行的Java Web应用程序. 在应用程序中的一个按钮按下打开运行一个JavaScript命令,与来自其它网页打开一个新窗口. 我似乎遇到的问题是,这引起了在IE安全警报. 使用以下信息: 我真的不能问我的客户一个例外添加到"HTTP://"什么是它不拾取该网站可能的原因是什么? 浏览器是正确的完整URL页面(即www.something.net:8080/blah/somepage.jsp)指出,浏览器IE7在W

  • 我不能让今日美国困惑了,他们说将它们添加到您的Web浏览器的安全性。 我怎么做? THANX! 2012-12-26

    如何添加到Web浏览器的安全性? THANX! --------------解决方案------------- 如何添加到Web浏览器的安全性? 嗨, Internet选项>隐私,尽量低的设置. 如果没有帮助,尝试接受一切. 如果接受所有没有帮助,回到低或中等. 从Internet选项>安全>可信站点>站点,取消选中"要求服务器验证...",然后添加* .usatoday.com和* .usatoday.cafe.com到受信任的站点. 如果不成功这些步骤,你有

  • 结算下来的Cookie在IE浏览器的安全性 2012-02-06

    我一直在问来分析一个古老的web应用程序存储在cookie中,而不是会议/类似的敏感信息. (准确地说,这是传统的ASP和使用cookie的家庭). 唯一的客户端IE 6/7/8 之后有问题的进程已经完成了对Web应用程序,饼干被清除了. 我要回答的问题是:一旦发生这种情况,如何努力,这将是有人回收的(删除)的Cookie中的信息? 我的理解如下,但我希望得到一些确认/任何其他问题,任何人都可以想到的. 曲奇不应该在网络上截获的,因为它们可以通过SSL传递. 他们可能会在查看服务器内存/日志文件

  • 浏览器和wget负载JPEG不同? 2012-06-02

    我难倒就这一个. 试着在浏览器中加载此图像,然后将其保存到硬盘. 这是一个在11377字节的有效的JPEG文件. 现在尝试用它下载wget或curl . 只有11252字节显示,并且图像的右下部分缺失. 怎么办? --------------解决方案------------- 开始- 服用一包垃圾,我看到Facebook的返回相同的Content-Length Safari浏览器,因为它不卷曲,且内容长度是不正确的11252: GET /hprofile-ak-snc4/41674_660962

  • 我如何重置浏览器的安全性,允许从微软下载管理器,所以我可以得到我的Office 2010的免费试用? 请帮忙!!! 2014-08-16

    你好,请帮我找到一个方式,我可以让我的Microsoft Office 2010的免费试用到我的电脑. 昨天,我决定尝试从2010办公室免费试用,然后它得到了下载,但一旦它被降消息弹出说我的浏览器的安全设置,不会让我的下载管理器被限制,所以我必须将其保存到我的本地驱动器,然后从那里去,但之后我这样做,它甾体抗炎药一样的东西. 任何人都可以帮我请? 我试图改变安全同时与Mozilla的Firefox和Internet Explorer设置,它的不工作. 它仍然甾体抗炎药的下载管理器被限制. 请帮助

  • 新的ActiveXObject(“Word.Application”),创造了新的Winword.exe进程时,IE浏览器的安全性不允许创建对象 2014-10-29

    我们使用MS Word作为拼写检查对一家私营公司的网站几个字段,当IE安全设置是正确的它工作得很好. (区的站点设置为受信任,并信任区域修改,以允许控制,而不提示运行.) 我们正在使用的脚本创建一个Word对象,并随后将其关闭. 而对象存在,一个WINWORD.EXE进程运行,但是当字对象关闭它被破坏. 如果我们的网站没有设置在信任区域(Int​​ernet区域使用默认的安全级别)创建如预期的Word对象出现故障的电话,但Winword.exe进程仍在创建. 我没有任何办法在这个过程中的脚本互动

  • 通过PowerShell中的Windows服务器上禁用IE浏览器的安全性 2013-01-22

    这一切发生的时候,我旋转了一个虚拟机与Windows Server和我无法访问,因为IE的安全的网络连接. 有没有人有禁用IE的安全直接的PowerShell脚本? --------------解决方案------------- function Disable-InternetExplorerESC { $AdminKey = "HKLM:\SOFTWARE\Microsoft\Active Setup\Installed Components\{A509B1A7-37EF-4b3f-8CFC

  • 安全性:嵌入在网页浏览器和纯PHP网站的java:是有区别吗? 2014-01-24

    我的一个朋友刚刚告诉我: 对于在网页浏览器的安全性,有只的Java或Flash. 我真的强烈怀疑,我敢河畔,有是在PHP网站(正确编写),并嵌入到Webbrower Java应用程序没有区别. 他是正确的,如果是这样,有什么主要区别( 只是从安全角度考虑,不启动时,请谈论内存消耗和儿子......)? --------------解决方案------------- @Deceze有这个漂亮的正确: 一切客户端必须被认为是不安全的,因为攻击者能够访问它(任何一个攻击者应被视为不安全和威胁) 至少在

  • 从浏览器链接启动WPF应用程序? 2012-04-09

    我们必须在浏览器中的链接开始与特定参数WPF应用程序的要求. 我们想知道这是否可能? 作为替代方案,我们可以嵌入在WPF浏览器控件的Web应用程序,并读取值出HTML网页的? --------------解决方案------------- 几种可能: 如果你控制浏览器(比如,如果你是在Intranet方案,并部署应用程序的机会),您可以: 创建运行应用程序的ActiveX插件或 注册一个新的URI方案来诠释那种网址"yourapplication:// yourarguments" (

  • 我怎样才能关闭浏览器窗口而不会收到“是否要关闭此窗口”的提示? 2012-06-17

    我怎样才能关闭浏览器窗口,但没有接收到是否要关闭此窗口提示? 当我使用时,会出现提示window.close();函数. --------------解决方案------------- 我的朋友...有一种方法,但"黑客"没有开始来形容它. 你必须基本上利用一个漏洞在IE 6和7. 屡试不爽! 而不是调用的window.close() ,重定向到另一页. 打开的页面: alert("No whammies!"); window.open("closer.h

Copyright (C) 55228885.com, All Rights Reserved.

55228885 版权所有 京ICP备15002868号

processed in 0.606 (s). 10 q(s)