Подгрузка картинки с внешнего сайта. Безопасно ли?

Антоний Казанский
На сайте с 12.04.2007
Offline
786
#11

Слышали звон, но не знаем, где он?

Какое отношение вот это:

--

Для успешной эксплуатации CVE-2024-39717 злоумышленнику необходимо, чтобы пользователь с соответствующими правами (Provider-Data-Center-Admin или Provider-Data-Center-System-Admin) успешно прошёл аутентификацию и вошёл в систему.

Хотя точные обстоятельства использования CVE-2024-39717 пока остаются неясными, национальная база данных уязвимостей США (NVD) сообщает, что Versa Networks подтвердила один случай, когда клиент подвергся атаке. При этом отмечается, что клиент не реализовал рекомендации по настройке межсетевого экрана, выпущенные в 2015 и 2017 годах, что и позволило злоумышленнику воспользоваться уязвимостью без использования графического интерфейса.

--

имеет к данной теме?



√ SEO продвижение ► https://akazansky.ru - экспертный аудит сайтов ( https://akazansky.ru/audit-sajtov ), внедрение эффективных решений цифрового маркетинга. Разговоры о SEO и не только: культурно, вежливо, доброжелательно ► https://t.me/seotusovochka
MsTanya
На сайте с 02.10.2008
Offline
129
#12

У меня был случай, когда загруженный пользователем логотип формата jpg был с вредоносным кодом. И, кстати, превьюшки этой картинки, которые сделал движок, тоже несли в себе этот код. А сайтег был вскрыт через SQL-инъекцию.

Правда, не знаю, является ли взлом сайта следствием наличия этих картинок.

Snake800
На сайте с 02.02.2011
Offline
236
#13
В данном случае одна из основных угроз - возможность загрузки svg-изображения, которое может нести в себе яваскрипты. Но современные браузеры не исполняют js из атрибута src тэга img и на встроенном изображении скрипты будут проигнорированы. Однако они исполнятся при прямой загрузке по url изображения, но уже нмкак не будут связаны с вашим доменом. Просто как скрипт на левом сайте. Если он окажется зловредным - да, ваш сайт может получить метку.
Второе - куки. Они, как правило, могут приниматься и ставиться только в рамках домена, т.е. изолированы: куки сайта одна область, куки картинки - другая. Долго объяснять нюансы и обычно угрозы нет, но если сомневаетесь, лучше изучить вопрос и перепроверить свои настройки сервера и поведение своих js скриптов. В частности, области видимости - js/http, разрешенные домены, cors, наличие каких-то "навороченных" или дырчатых js на странице и т.д.
Третье - исполняемые скрипты на удаленном сервере. Тут ваще можно не париться, как формируется изображение - статикой, php или что либо ещё. Важен лишь контент, возвращаемый браузеру.
Ну и четвёртое - реальная, но маловероятная угроза - перенаправление юзерских запросов на сторонние ресурсы. Например, с целью ddos. Но через <img> больше одного запроса за раз не кинешь. Кстати,  этим тэгом даже прекрасно крутятся поисковые подсказки через те же картиночные дорвеи, прущие картики с вашего сайта и простейшую защиту от хотлинкинга. Но вряд-ли у покупателя такая цель, когда это можно делать легко и бесплатно.
Антоний Казанский
На сайте с 12.04.2007
Offline
786
#14
Snake800 #:
В данном случае одна из основных угроз - возможность загрузки svg-изображения, которое может нести в себе яваскрипты.

Подробнее есть информация на эту тему (конкретные случаи взлома)?


Snake800 #:
Но современные браузеры не исполняют js из атрибута src тэга img и на встроенном изображении скрипты будут проигнорированы.

А как они исполнятся, если тег <img> уже конкретно описан и никаких JS прицепом к нему нет?


Snake800 #:
Но вряд-ли у покупателя такая цель, когда это можно делать легко и бесплатно.

Согласен. Слишком сложные схемы с крайне маловероятным деструктивным воздействием.

Евгений, я бы на вашем месте выдвинул условие - загрузка png картинки локально и саму картинку у себя принудительно переводить webp. Без возможности инициировать у вас php скрипты и проброс редиректов удалённо, навредить вам шансов не будет.

Вообще использовать непроверенные удалённые источники - так себе идея. Думаю, строго обозначить условия локальной загрузки материалов и всё, не сломать себе голову 😉

 

M3
На сайте с 09.02.2022
Offline
105
#15
не заниматься ерундой, а заплатить специалисту, раз не хватает навыков понять, какой файл подгружается
самый простой специалист отдебажит файл и сразу увидит, если в нем есть вредонос
другое дело, если он подгружается определенному гео

Антоний Казанский #:
Слышали звон, но не знаем, где он?

зиродей это уязвимость о которой не пишут в новостях
например, у тебя на машине запущен сервер майнкрафта, который прописывает в браузер плагин мониторинга, а кто-то в нем нашел уязвимость, загружаешь png файл и тем самым передаешь управление злоумышленникам


Антоний Казанский
На сайте с 12.04.2007
Offline
786
#16
master32 #:
не заниматься ерундой, а заплатить специалисту, раз не хватает навыков понять, какой файл подгружается

Этот специалист подскажет не заниматься ерундой, не слушать про неизвестные уязвимости (они и так останутся неизвестными), открыть файл в граф. редакторе, пересохранить в другом граф. формате и грузить локально. Всё.  

Mik Foxi
На сайте с 02.03.2011
Offline
1214
#17
Devvver :
Предложили разместить баннер с подгрузкой из внешнего источника (CDN, png картинка).
Доверия к предлагающим полный ноль, но предлагают очень много, выше чем на рынке.

звучит как скам. такое часто предлагают, правда предлагают js код. платить вам будут за количество показов картинки или за что? если не за показы, то разместить картинку лучше на своем хостинге.

Антибот, антиспам, веб фаервол, защита от накрутки поведенческих: https://antibot.cloud/ (Зеркало: https://антибот.рф/ ) Форум на замену серчу: https://foxi.biz/
M3
На сайте с 09.02.2022
Offline
105
#18
Антоний Казанский #:

Этот специалист подскажет не заниматься ерундой, не слушать про неизвестные уязвимости (они и так останутся неизвестными), открыть файл в граф. редакторе, пересохранить в другом граф. формате и грузить локально. Всё.  

нет, специалист вскроет файл и если там действительно изображение, предложит JS скрипт, который будет проверять хэш подгружаемой пользователю картинки, если он изменится, то пользователь ничего не загрузит

Антоний Казанский
На сайте с 12.04.2007
Offline
786
#19
master32 #:
нет, специалист вскроет файл и если там действительно изображение, предложит JS скрипт, который будет проверять хэш подгружаемой пользователю картинки, если он изменится, то пользователь ничего не загрузит

Допустим, как вариант такое может быть.

А теперь чисто практически. На поиски такого специалиста сколько времени уйдет? (не считая риски, что найденный специалист посоветует что-то вообще бесполезное). Дальше, сколько будут стоить эти разовые услуги?

500 рублей - нет, 1000 рублей - нет, в районе 3-5K? Возможно. 

Далее вопрос, захочет Евгений тратить свои деньги в данном объёме, если элементарно за пол минуты сможет пересохранить файл в другом формате, загрузив локально? 

Где тут более целесообразное решение?

M3
На сайте с 09.02.2022
Offline
105
#20
Антоний Казанский #:

Где тут более целесообразное решение?

если ему предложили 3кк рублей за банер, то можно и 30к на специалиста потратить
таких данных нет, о целесообразности говорить бессмысленно 

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий