Внедряю на сайт визуальный редактор Tinymce, чтобы юзеры могли писать красивые комментарии. Там же есть возможность вставить изображение, указав адрес картинки. Вопрос такой - если этот адрес может быть абсолютно любым, то существует ли возможность у хакера указать там url, который разнесет сайт на кусочки? :)
1 ответ
Хороший вопрос. Вы бы спросили у экспертов по безопасности. Публичный форум — не то место, где вы сможете гарантированно получить квалифицированный совет: в конце-концов, тут могут быть хакеры, которые уговорят вас, что некоторая техника безопасна, и взломают ваш сайт.
Но всё же, ответьте себе на вопросы:
- Что будет, если пользователь вставит
javascript:
-ссылку? Не получите ли вы XSS? Поэкспериментируйте. - Что будет, если пользователь вставит ссылку на другой MIME-тип, не картинку?
По крайней мере когда-то это было проблемой: https://bugzilla.mozilla.org/show_bug.cgi?id=369814
Кстати, попробуйте на нашем сайте вставить в ответ вот такую картинку:

(работает почему-то только в режиме редактирования).
-
@VladD, <img src='javascrip:ссылка' /> - ничего не дает. Почему я задал вопрос с меткой php? Что будет, если прописать <img src='http:site/evil.php'? Где evil.php - это вредоносная программа. Запуститься ли она в браузере вместо изображения или нет?– Deus10 окт 2013 в 21:55
-
А как насчёт
<img src="javascript:alert('XSS')"/>
? Насчёт PHP — depends. Посмотрите, какой MIME-тип отдаст сервер. Если это что-нибудь наподобиеapplication/php
, браузер пользователя не запустит его на выполнение, а предложит загрузить и сохранить, по идее. Или нет, проэкспериментируйте.– VladD10 окт 2013 в 22:14 -
@@VladD, я об этом же ж, ни javascript:location.href='someSite', ни someSite.html - ничего не прокатывает. Т.е. тэг <img> требует только mime тип изображений. Это хорошо, с одной стороны, с другой - я же не знаю мышления хакеров, поэтому и вопрос задал.– Deus10 окт 2013 в 22:18
-
@Deus: вы на скольких браузерах проверяли? Некоторые позволяют: stackoverflow.com/q/12658992/276994 --- Там ещё хорошая ссылка: owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet– VladD10 окт 2013 в 22:22
-
@VladD, не на всех проверял. Что посоветуете? Слишком сложно проверять все тэги img после отправки сообщения. Достаточно ли будет просто делать str_replace('javascript','', $post)? На всякий случай?– Deus10 окт 2013 в 22:27