Может ли эта уязвимость навредить сайту?

Question

[Валерий Гутин]

На своем сайте заметил что можно вставлять в поле тег img с атрибутом src в виде любой ссылки:

<img src="site.ru/script.php" alt="такой будет вид">

Забавно, но на тостере тоже есть эта уязвимость, сюда приходят все IP адреса (на php сделал), которые посетили этот топик - joraxxa.tmweb.ru/data.txt

Я так понимаю с помощью этого злоумышленник не сможет навредить сайту?

Comments

[Роман]

данную "уязвимость" можно использовать разве что для привязки IP-пользователь, и то не гарантированно.

[Валерий Гутин]

Роман, всмысле не гарантированно? все юзеры которые сюда зашли - в текстовике висят

[Валерий Гутин]

Роман, плюс для DDOS-атак эта уязвимость может быть использована, если вставить ссылку на не оптимизированную выборку из БД сайта-жертвы (при должном посещении ресурса, где будет вредоносный код).

[Роман]

Валерий Гутин, каким образом Вы определите какой из 100 IP адресов посетивших данный вопрос были например моими?

[Роман]

Валерий Гутин, Сервисы с большим числом посещений редко позволяют вставлять на свои странички картинки из других источников. А прочие погоды не для DDOS делеают.

[Zettabyte]

Спасибо, занятно было взглянуть на соотношение IPv4 / IPv6 среди пользователей Тостера :)

[CityCat4]

Ааааа! Он меня посчитаааал! :D

Answer 1

[Saboteur]

это не уязвимость, это нормальное использование src в img
Вы можете вызывать скрипт (php, python,bash, exe - любоей) - который на ходу генерирует вам картинку и возвращает именно бинарные данные картинки как octet/stream

Так собственно работают многие диаграммы и графики в движках статистике.

Comments

[Валерий Гутин]

ну давать возможность левым сайтам гнать через себя трафик - не очень хорошо.

[Saboteur]

что значить гнать через себя трафик?
Трафик гонится не через вас, а все равно напрямую пользователю. Если удаленный сервис возвращает вам, например окошко с баннером или, например, recapcha с полем для ввода и картинкой, вы тоже считаете это уязвимостью и "гнать через себя трафик"?

Еще раз повторяю - это не уязвимость, это штатная работа команды.
Либо приведите пример именно "уязвимости".

Пока что одно из популярных нештатных использований подобного - pixel injection, но для этого вы должны уметь редактировать контент удаленного ресурса (форумы, социальные сети).
Это один из вариантов, когда "находят по IP". Но это больше проблема форума или социальных сетей. Можно предусмотреть, чтобы нельзя было пользоваться чистым HTML с прямым редактированием тегов. Тем более что многие пользуются markup а не html.

Answer 2

[SagePtr]

А ещё в пост вставить картинку с котиком, а через некоторое время (когда пост затеряется и шанс модератора наткнуться на него будет минимальным) - заменить картинку с котиком на изображение листа конопли и натравить на него Роскомнадзор.
В итоге сайт улетает в блокировку, а владельцы некоторое время не понимают, почему кол-во посетителей из России вдруг упало, а найти картинку, к которой РКН придрался, будет весьма сложно, так как факт замены в логах нигде отражён не будет, ибо заменена она будет на стороне стороннего сервера.

Comments

[Владислав Лысков]

прям идеальное преступление

Answer 3

[tema_sun]

Вообще это плохо. По-хорошему, надо выкачивать картинку к себе, валидировать ее там и для пользователей уже показывать со своего сервера.
Странно, что тостер не использует хабрасторадж для этого.

Comments

[Роман]

По сути вопрос был как раз чем именно это плохо? (В данном случае для тостера)

[alex-1917]

я один не заметил, что ВСЕ картинки грузятся на хабрасторадж?)) ТС явно из разряда не проснувшихся мечтателей

Answer 4

[profesor08]

Ничем не плохо. Нет никакой разницы как выглядит ссылка, имеет значение то, какой контент отдает сервер и как он ее обрабатывает. Я могу вставить ima/cat.jpg, а на сервере буду обрабатывать такой путь как мне захочется, и выдавать контент какой мне захочется.

Answer 5

[Adamos]

Любой ссылки на любой сайт?
Тогда некто может вписать туда, например, ссылку на SVG с эксплойтом и просто подождать, когда страницу, где эта ссылка отображается, откроет администратор сайта.
Или если у вас есть "интересные" страницы с GET-запросами, исполнить которые может только администратор - пишем ее адрес туда же и ждем того же.

Answer 6

[Lander]

Например туда можно вставить ссылку типа /auth/sign_out и если на сервере не стоит проверка что этот экшен может быть отправлен только через POST, то все открывшие эту "картинку" автоматически выйдут с сайта.

Comments

[Александр Ме]

Не важно post или get, должен быть CSRF-токен

[Lander]

Александр Медведев, Вы о чём? Причём тут csrf-токен?

[vism]

почему бы не попробовать?

[vism]

все норм!) я потестил!

[Lander]

vism, На тостере есть чёткое указание в ссылке, что отдавать только через POST. :) И на сервере это проверяется.
Ну можно вставить ссылку на "генератор мусора", который будет качать огромный файл, который никогда не закончится. При использовании мобильного трафика это может вызвать небольшой дискомфорт. :)

Answer 7

[Johny Smith]

Пользователи могут пожаловаться на тостер, за то что тот не умышленно передаёт их данные третьим лицам. Любому пользователю это может не понравиться.