1

Внедряю на сайт визуальный редактор Tinymce, чтобы юзеры могли писать красивые комментарии. Там же есть возможность вставить изображение, указав адрес картинки. Вопрос такой - если этот адрес может быть абсолютно любым, то существует ли возможность у хакера указать там url, который разнесет сайт на кусочки? :)

1 ответ 1

1

Хороший вопрос. Вы бы спросили у экспертов по безопасности. Публичный форум — не то место, где вы сможете гарантированно получить квалифицированный совет: в конце-концов, тут могут быть хакеры, которые уговорят вас, что некоторая техника безопасна, и взломают ваш сайт.

Но всё же, ответьте себе на вопросы:

  • Что будет, если пользователь вставит javascript:-ссылку? Не получите ли вы XSS? Поэкспериментируйте.
  • Что будет, если пользователь вставит ссылку на другой MIME-тип, не картинку?

По крайней мере когда-то это было проблемой: https://bugzilla.mozilla.org/show_bug.cgi?id=369814


Кстати, попробуйте на нашем сайте вставить в ответ вот такую картинку:

![XSS](https://ru.stackoverflow.com/account/signout/?next=http://hashcode.ru)

(работает почему-то только в режиме редактирования).

6
  • @VladD, <img src='javascrip:ссылка' /> - ничего не дает. Почему я задал вопрос с меткой php? Что будет, если прописать <img src='http:site/evil.php'? Где evil.php - это вредоносная программа. Запуститься ли она в браузере вместо изображения или нет?
    – Deus
    10 окт 2013 в 21:55
  • А как насчёт <img src="javascript:alert('XSS')"/>? Насчёт PHP — depends. Посмотрите, какой MIME-тип отдаст сервер. Если это что-нибудь наподобие application/php, браузер пользователя не запустит его на выполнение, а предложит загрузить и сохранить, по идее. Или нет, проэкспериментируйте.
    – VladD
    10 окт 2013 в 22:14
  • @@VladD, я об этом же ж, ни javascript:location.href='someSite', ни someSite.html - ничего не прокатывает. Т.е. тэг <img> требует только mime тип изображений. Это хорошо, с одной стороны, с другой - я же не знаю мышления хакеров, поэтому и вопрос задал.
    – Deus
    10 окт 2013 в 22:18
  • @Deus: вы на скольких браузерах проверяли? Некоторые позволяют: stackoverflow.com/q/12658992/276994 --- Там ещё хорошая ссылка: owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet
    – VladD
    10 окт 2013 в 22:22
  • @VladD, не на всех проверял. Что посоветуете? Слишком сложно проверять все тэги img после отправки сообщения. Достаточно ли будет просто делать str_replace('javascript','', $post)? На всякий случай?
    – Deus
    10 окт 2013 в 22:27

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.