богоносец#: Часть политбюро регулярно, с помощью ФСО, проверяет свои устройства связи, а часть - просто не доверяет ФСО и представителям руководства силового блока, но беспокойство проявили все. Каждый из членов политбюро, увидев кадры с оторванными конечностями и с дырками в животах и головах представителей Хезболла, представил себя на их месте
Ну раз это не какой-то банкиг, то я практически уверен, что плохих последствий не будет. В конце-концов, внедряют же в почтовых рассылках трэк-пиксели, вставляют изображения на форумы и ничего - все живы-здоровы. При самом плохом и практически неосуществимом сценарии, возможны действия с привелегиями юзера, посещающего страницу. Типа коммент там отправить, ну или какие там у него будут права. Но это прям околонулевые шансы и на сайте должны иметься другие уязвимости, чтоб так заэксплойтить.
Для полноты угроз, тут ещё не упомянали возможность отправки gzip-бомб. Но они в общем-то безобидные да и нафиг не нужны. Если баннер заказывает не конкурент, решивший сделать мелкую пакость (попытаться ухудшить ПФ).
Антоний Казанский#: Подробнее есть информация на эту тему (конкретные случаи взлома)?
Ещё раз. Скрипт, подключенный через тэг <img>, не исполняется. Это довольно безопасно. Примерно, как малварь, просто лежащий в папке на компе сам по себе безопасен. Но браузеры могут исполнить svg файл, вернее, встроенный в него js. Конкретно по случаям - в Опере лет 10-15 назад долгое время была серьезная уязвимость, как раз связанная с загрузкой изображений. Детали не помню, это надо искать-вспоминать, но дыра была существенная. После этого, кстати, популярность браузера сильно упала.
В данном случае одна из основных угроз - возможность загрузки svg-изображения, которое может нести в себе яваскрипты. Но современные браузеры не исполняют js из атрибута src тэга img и на встроенном изображении скрипты будут проигнорированы. Однако они исполнятся при прямой загрузке по url изображения, но уже нмкак не будут связаны с вашим доменом. Просто как скрипт на левом сайте. Если он окажется зловредным - да, ваш сайт может получить метку.
Второе - куки. Они, как правило, могут приниматься и ставиться только в рамках домена, т.е. изолированы: куки сайта одна область, куки картинки - другая. Долго объяснять нюансы и обычно угрозы нет, но если сомневаетесь, лучше изучить вопрос и перепроверить свои настройки сервера и поведение своих js скриптов. В частности, области видимости - js/http, разрешенные домены, cors, наличие каких-то "навороченных" или дырчатых js на странице и т.д.
Третье - исполняемые скрипты на удаленном сервере. Тут ваще можно не париться, как формируется изображение - статикой, php или что либо ещё. Важен лишь контент, возвращаемый браузеру.
Ну и четвёртое - реальная, но маловероятная угроза - перенаправление юзерских запросов на сторонние ресурсы. Например, с целью ddos. Но через <img> больше одного запроса за раз не кинешь. Кстати, этим тэгом даже прекрасно крутятся поисковые подсказки через те же картиночные дорвеи, прущие картики с вашего сайта и простейшую защиту от хотлинкинга. Но вряд-ли у покупателя такая цель, когда это можно делать легко и бесплатно.
Sly32#: скопировал токен в браузере, потом на своем компе вошел на страничку пофиля и подменил в браузере в куках токен? Я получу доступ к чужой странице?
Скорее всего, да. Это же http протокол и "обычные пароли". Тут единственный вариант хранить и сверять дополнительные отпечатки: юзерагент, ip и другие общедостуные сведения. Хотя и это не панацея.
Мелкомягкие и их последователи делают именно так (.net Identity). В куке под RSA256 вся информация о юзере: логин, права и т.п. Выглядит немного пугающе, но на самом деле довольно надёжно: без приватного ключа не подделать. Плюс expiration tokens. Есть вариация с session id под тем же rsa. Она, как мне видится, чуть более безопасна и меньше в обёме, но малость напрягает сервер.
Похоже я тупею.
В первом посте 2 скрина.
Как можно тестить пайдж спид сайта через впн?
Часть политбюро регулярно, с помощью ФСО, проверяет свои устройства связи, а часть - просто не доверяет ФСО и представителям руководства силового блока, но беспокойство проявили все. Каждый из членов политбюро, увидев кадры с оторванными конечностями и с дырками в животах и головах представителей Хезболла, представил себя на их месте
Мой сайт - стандартный Wordpress.
Ну раз это не какой-то банкиг, то я практически уверен, что плохих последствий не будет. В конце-концов, внедряют же в почтовых рассылках трэк-пиксели, вставляют изображения на форумы и ничего - все живы-здоровы. При самом плохом и практически неосуществимом сценарии, возможны действия с привелегиями юзера, посещающего страницу. Типа коммент там отправить, ну или какие там у него будут права. Но это прям околонулевые шансы и на сайте должны иметься другие уязвимости, чтоб так заэксплойтить.
Для полноты угроз, тут ещё не упомянали возможность отправки gzip-бомб. Но они в общем-то безобидные да и нафиг не нужны. Если баннер заказывает не конкурент, решивший сделать мелкую пакость (попытаться ухудшить ПФ).
Сразу вопрос - причём тут svg, если TC конкретно указал png?
Вопрос - зачем в svg встраивать JS, в чём необходимость?
Подробнее есть информация на эту тему (конкретные случаи взлома)?
Но как бы всё равно пенсия 3600$ на двоих в месяц это дофига
Для пенсии может быть и нормально. Но, насколько понимаю, по австралийским меркам это немного. Жизнь в Австралии вроде не дешёвая.
скопировал токен в браузере, потом на своем компе вошел на страничку пофиля и подменил в браузере в куках токен? Я получу доступ к чужой странице?
Главный вопрос - насктолько это надежно?