Javascript.RU

Создать новую тему Ответ
 
Опции темы Искать в теме
  #1 (permalink)  
Старый 27.01.2010, 09:11
Новичок на форуме
Отправить личное сообщение для slupi Посмотреть профиль Найти все сообщения от slupi
 
Регистрация: 26.01.2010
Сообщений: 6

xss в коде картинки
Здравствуйте!

выполнится ли код записанный внутрь картинки(jpeg,gif или png) к примеру hex редактором при выводе картинки браузером.

например такой:
<script>alert(1)</script>


и если да, то как от этого можно защитится?
Вобще такое возможно и как с таким можно бороться с помощью js или php?

Если возможно то желательны ответы хотябы с небольшим объяснением.
Ответить с цитированием
  #2 (permalink)  
Старый 27.01.2010, 09:33
Новичок на форуме
Отправить личное сообщение для Kolyaj Посмотреть профиль Найти все сообщения от Kolyaj
 
Регистрация: 19.02.2008
Сообщений: 9,177

С чего бы это браузеру выполнять какой-то код из картинок. Скажет, что битая картинка, и всё.
Ответить с цитированием
  #3 (permalink)  
Старый 27.01.2010, 09:56
Новичок на форуме
Отправить личное сообщение для slupi Посмотреть профиль Найти все сообщения от slupi
 
Регистрация: 26.01.2010
Сообщений: 6

Kolyaj,
спасибо, за ответ.

Это хорошо, а то в проекте нужно сделать возможность загрузки аватар, а поломку не хочется допускать.
Ответить с цитированием
  #4 (permalink)  
Старый 27.01.2010, 11:31
Новичок на форуме
Отправить личное сообщение для slupi Посмотреть профиль Найти все сообщения от slupi
 
Регистрация: 26.01.2010
Сообщений: 6

Мне кстати так и не удалось внедрить подобный код в ie7, однако меня смущает что вот здесь написано что внедрить можно.
Ответить с цитированием
  #5 (permalink)  
Старый 27.01.2010, 11:35
Новичок на форуме
Отправить личное сообщение для Kolyaj Посмотреть профиль Найти все сообщения от Kolyaj
 
Регистрация: 19.02.2008
Сообщений: 9,177

В статье описывается открытие картинки в отдельном окне. В таком случае возможно и выполнение, особенно если с сервера не послан Content-Type. Но все равно такая картинка будет битой и достаточно проверять её на корректность, что и так делать надо, в случае загрузки аватарок.
Ответить с цитированием
  #6 (permalink)  
Старый 27.01.2010, 11:42
Новичок на форуме
Отправить личное сообщение для slupi Посмотреть профиль Найти все сообщения от slupi
 
Регистрация: 26.01.2010
Сообщений: 6

Kolyaj,
еще раз спасибо за разъяснение, пойду создавать проверку на сервере.
Ответить с цитированием
  #7 (permalink)  
Старый 27.01.2010, 13:02
Аватар для Riim
Рассеянный профессор
Отправить личное сообщение для Riim Посмотреть профиль Найти все сообщения от Riim
 
Регистрация: 06.04.2009
Сообщений: 2,379

Сообщение от Kolyaj
достаточно проверять её на корректность
а как проверить на корректность?
Ответить с цитированием
  #8 (permalink)  
Старый 27.01.2010, 13:36
Новичок на форуме
Отправить личное сообщение для Kolyaj Посмотреть профиль Найти все сообщения от Kolyaj
 
Регистрация: 19.02.2008
Сообщений: 9,177

Впрочем поиск показал, что текст в картинку можно в exif запихнуть, но браузер его выполнять не будет.

Последний раз редактировалось Kolyaj, 27.01.2010 в 13:39.
Ответить с цитированием
  #9 (permalink)  
Старый 27.01.2010, 13:52
Новичок на форуме
Отправить личное сообщение для Kolyaj Посмотреть профиль Найти все сообщения от Kolyaj
 
Регистрация: 19.02.2008
Сообщений: 9,177

Riim,
функцией getimagesize, например, в PHP.
Ответить с цитированием
  #10 (permalink)  
Старый 27.01.2010, 14:33
Аватар для PeaceCoder
Профессор
Отправить личное сообщение для PeaceCoder Посмотреть профиль Найти все сообщения от PeaceCoder
 
Регистрация: 15.12.2009
Сообщений: 742

Сообщение от Kolyaj
С чего бы это браузеру выполнять какой-то код из картинок. Скажет, что битая картинка, и всё.
Сообщение от Kolyaj
В статье описывается открытие картинки в отдельном окне.
Вот и не верно. это кстати оч распространенная атака XSS.
Ответить с цитированием
Ответ



Опции темы Искать в теме
Искать в теме:

Расширенный поиск


Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Изменение размеров картинки через скрипт SLV Общие вопросы Javascript 4 27.12.2010 11:40
Получение координат от картинки EmDmAl Events/DOM/Window 4 08.11.2009 14:34
Смена картинки (бекграунд дива ) при событии (нажатие клавиш или клавиши и мыши) Monster Events/DOM/Window 5 01.11.2009 01:16
Координаты картинки после движения Lisenok Общие вопросы Javascript 10 30.10.2009 19:58
Как изменить размер картинки? Mihail Общие вопросы Javascript 1 25.10.2009 13:42