Опасно ли ссылаться на изображения со сторонних сайтов?

Question

[Hellas]

Предположим, есть система комментариев, куда можно вставлять ссылки на изображения с любых сторонних ресурсов, которые затем оборачиваются в<img src="...">, ибо нет возможности загружать изображения на свой сервер из-за небольшого размера доступного места.

Опасно ли это?

Answer 1

[iBird Rose]

нет. это не опасно. но это влечет за собой проблему того, что если изображение удалят - у вас его тоже не станет.
как вариант посоветую через vk api грузить изображения в вк. а оттуда уже к себе.
p.s. а еще говорят что для сео это плохо. что из за кучи ссылок на другие ресурсы понижается вес страницы.

Comments

[Александр Аксентьев]

> плохо для сео
изображение это не ссылка.
Ссылка это <a>
Все остальное за ссылки не считается.

Answer 2

[sim3x]

Да
В любой момент ресурс, на котором лежит картинка заменит картинку на что угодно и может сделать с твоей страницей что попало

АПД, по просьбам трудящихся
Что могли сделать в 13 (и не исключено, что и сейчас будет)
security.stackexchange.com/questions/36447/img-tag...

Comments

[Александр Аксентьев]

страшные вещи писать надо аккуратно :)
что попало => заменить картинку на что попало.
С самой страницей ничего страшного не случится.

[iBird Rose]

мне вот тоже стало интересно. и что же смогут сделать если допустим у меня стоит картинка вида

<img src="https://toster.ru/images/bla.png" alt="">

максимум что плохого можно сделать - это заменить картинку на другую. не более

[index0h]

iBird Rose А если картинка будет одноцветной, но с размером 1000000х1000000 пикселей, ваша страница гарантированно будет отображаться так же?

[Алексей Николаев]

Александр Аксентьев: но ведь у пользователя при запросе к картинке будут слаться заголовки с куками, соответственно, если сервер может быть какой угодно, то это дыра. Разве нет?

[Александр Аксентьев]

Алексей Николаев: а с чего бы куки на другой домен должны уйти?

[iBird Rose]

Алексей Николаев: это обычный src у тега img - ты туда вообще ничего не сможешь подсунуть, кроме картинки. не спорю - вариант index0h хорош. но опять так и он не несет опасности. обычная шалость - не более. никто даже не станет таким заниматься - потому что бессмысленно, а еще потому что нагрузка то будет идти на его сервер.

[Александр Аксентьев]

index0h: Попробовал в фотошопе создать 1000000x1000000
Он сразу же скинул до 30000х30000(максимум).
При этом предварительный вес написал 251 гигабайт.

Так что быстрее упадёт, сервер хакера или сайт жертвы?)

[index0h]

Александр Аксентьев Вы собираетесь несжатые данные отправлять? Попробуйте jpg например.
iBird Rose Хорошо, что вы не знаете, что такое "пиксель" в контексте арбитража трафика))

[Александр Аксентьев]

index0h: не знаю насколько оно сожмется, но фотошоп даже не дал создать в итоге, видимо надо рамы грузовик :)

[sim3x]

Александр Аксентьев: в фотошопе такое не надо создавать
Создавать вообще не обязательно
Нужно посылать клиенту данные

[Алексей Николаев]

Александр Аксентьев: вы правы, ошибся)

[rPman]

Теоретически, в обработчиках svg могут остаться страшные ошибки ('это текстовый язык описания векторной графики), как минимум может загружать другие документы по ссылкам (нужны вам ddos бомбы?), а для браузера это та же картинка, на расширение в ссылке браузерам наплевать, они спрашивают тип в хеадерах, которые вернул сервер с картинкой.

Answer 3

[Алексей Харченко]

Попадалось мне, что на форум кто-то вставил картинку с внешнего ресурса, а потом её на том ресурсе прикрыли запросом логина-пароля. Т.е. картина такая - заходит человек в тему на форуме (где была та картинка вставлена), а ему окошко всплывает с запросом логина-пароля. На заголовок многие внимания не обращают, и могут ввести что угодно - пароль для интернета (от adsl например), пароль для почты, и пароль от своей учётки на форуме, конечно! А потом начнутся вопли, что Ваш сайт такой-сякой плохой, занимается нехорошими вещами... Так что небезопасно, по меньшей мере, для посетителей.